アクセス制御システム
【課題】ユーザ端末の位置情報に応じてその場にふさわしいアクセス管理を行うこと。
【解決手段】本発明のアクセス制御システムは、ユーザ認証を行い認証トークンを当該ユーザ端末１６へ送信すると共に認証ログをユーザ端末監視サーバ２へ送信する認証サーバ１と、上記認証ログを受けて認証されたユーザ端末１６の位置情報属性をポリシーサーバ３に送信するユーザ端末監視サーバ２と、この位置情報属性を受け、ディレクトリサーバ２６にユーザ端末１６の位置情報に基づくグループ属性の設定を実施させるポリシーサーバ３と、ユーザ端末１６からの認証トークンに基づいてユーザのグループ属性をアプリケーションサーバ２７に送信するディレクトリサーバ２６と、を有し、上記アプリケーションサーバ２７は、ユーザ端末１６のグループ属性を受信すると、当該グループ属性に基づいた機能をユーザ端末１６に提供する。
【解決手段】本発明のアクセス制御システムは、ユーザ認証を行い認証トークンを当該ユーザ端末１６へ送信すると共に認証ログをユーザ端末監視サーバ２へ送信する認証サーバ１と、上記認証ログを受けて認証されたユーザ端末１６の位置情報属性をポリシーサーバ３に送信するユーザ端末監視サーバ２と、この位置情報属性を受け、ディレクトリサーバ２６にユーザ端末１６の位置情報に基づくグループ属性の設定を実施させるポリシーサーバ３と、ユーザ端末１６からの認証トークンに基づいてユーザのグループ属性をアプリケーションサーバ２７に送信するディレクトリサーバ２６と、を有し、上記アプリケーションサーバ２７は、ユーザ端末１６のグループ属性を受信すると、当該グループ属性に基づいた機能をユーザ端末１６に提供する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ユーザ端末の物理的、論理的位置情報に基づいた権限付与、アクセス管理を行うアクセス制御システムに関する。
【背景技術】
【０００２】
共有ファイルサービスやWebアプリケーション、リモートアクセスVPN、IEEE802.1x dynamic VLANといったアプリケーションは、各アプリケーション毎にユーザ認証機能、ユーザ認可機能、及びアカウンティング機能を有している。しかし、これらは、アプリケーション作成の負荷が大きく、メンテナンスに多大な労力を要し、ユーザに各アプリケーション毎にログイン作業を要求する必要がある等といった問題を有している。このような従来のアプリケーションに関わる問題に鑑みて、今日では、ユーザ認証の負担軽減を図るNET Passportの如きシングルサインオンや、単なるyellowページに止まらずにユーザのアクセス権限を一括制御する機能を含むWindows（登録商標） Active DirectoryやLDAPサーバの如き統合ディレクトリに関わる技術が開発されているのが実状である。
【０００３】
一方、ユビキタス環境においては、時間や場所を問わずにネットワークリソースにアクセス可能な環境が提供される。このような環境整備と並行して、今日では個人情報保護法等といった情報セキュリティに関する法整備が進められているが、利便性の追求と安全性の追求は、ある意味、トレードオフの関係にある。例えば、ユビキタス環境下では、街中の喫茶店等から社内の個人情報等にアクセスする事も可能となるが、第三者に盗み見されるリスクがあることに鑑みれば、それに対して何らかの措置を講じる必要がある。このような状況に鑑みて、今日ではユーザ端末の位置情報に応じたアクセス管理を行う技術が開発されている。そして、同技術では、ユーザのアクセス権限の管理を、上記ユーザ認可部で統一的に管理するようになってきている。
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、前述したユーザ端末の位置情報に応じたアクセス管理では、ユーザのアクセス権限は静的（static）に決定され、ユーザの位置情報に応じて動的（dynamic）に変化させることはできていないのが実状である。また、前述したLDAPサーバやActive Directoryでは、「グループ」という概念を用いてユーザのアクセス権限を制御するようになってきているが、該アクセス権限は、静的（static）に決まり、ユーザの物理的、論理的位置情報等に動的（dynamic）に対応することはできていない。つまり、ユーザの置かれた環境を想定しての権限付与、アクセス管理はなされていない。
【０００５】
本発明の目的とするところは、ユーザ端末の物理的、論理的位置情報を管理し、当該情報に応じてその場にふさわしい権限を付与し、アクセス管理を行うことにある。
【課題を解決するための手段】
【０００６】
上記目的を達成するために、本発明の第１の態様では、ユーザ端末のユーザ認証を行い、認証トークンを当該ユーザ端末へ送信すると共に、認証ログをユーザ端末監視サーバへ送信する認証サーバと、上記認証ログを受けて、認証されたユーザ端末の位置情報属性をポリシーサーバに送信するユーザ端末監視サーバと、この位置情報属性を受け、ディレクトリサーバにユーザ端末の位置情報に基づくグループ属性の設定を実施させるポリシーサーバと、ユーザ端末からの上記認証トークンを受け、当該認証トークンをディレクトリサーバに送信するアプリケーションサーバと、この認証トークンに基づいてユーザのグループ属性をアプリケーションサーバに送信するディレクトリサーバと、を有し、上記アプリケーションサーバは、ユーザ端末のグループ属性を受信すると、当該グループ属性に基づいた機能をユーザ端末に提供する、ことを特徴とするアクセス制御システムが提供される。
【０００７】
本発明の第２の態様では、ユーザ端末のユーザ認証を行い、認証トークンを当該ユーザ端末へ送信すると共に、認証ログをユーザ端末監視サーバへ送信する認証サーバと、上記認証ログを受けて、認証されたユーザ端末の位置情報属性をポリシーサーバに送信するユーザ端末監視サーバと、この位置情報属性を受け、ディレクトリサーバにユーザ端末の位置情報に対して最適なプリンタのＩＰアドレスを有するグループ属性の設定を実施させるポリシーサーバと、ユーザ端末からの上記認証トークンを受け、当該認証トークンをディレクトリサーバに送信するプリンタサーバと、この認証トークンに基づいてユーザのグループ属性をプリンタサーバに送信するディレクトリサーバと、を有し、上記プリンタサーバは、ユーザ端末のグループ属性を受信すると、当該グループ属性に基づきプリンタを特定する、ことを特徴とするアクセス制御システムが提供される。
【０００８】
本発明の第３の態様では、ユーザ端末のユーザ認証を行い、認証トークンを当該ユーザ端末へ送信すると共に、認証ログをユーザ端末監視サーバへ送信するシングルサインオンサーバと、上記認証ログを受けて、認証されたユーザ端末の位置情報属性をポリシーサーバに送信するユーザ端末監視サーバと、この位置情報属性を受け、ディレクトリサーバにユーザ端末の位置情報に基づくグループ属性の設定を実施させるポリシーサーバと、上記ユーザ端末の所属グループを上記シングルサインオンサーバに返信するディレクトリサーバと、上記ユーザ端末に対して、アプリケーション利用トークンに基づくアクセス許可を与えるアプリケーションサーバと、を有し、上記ユーザ端末が上記シングルサインオンサーバにアプリケーション利用トークンの作成依頼を行なうと、当該シングルサインオンサーバは上記ディレクトリサーバから当該ユーザの所属グループを受け、アプリケーション利用トークンを作成し、上記ユーザ端末に配布し、当該ユーザ端末にアプリケーション利用トークンに基づくアクセス許可を与える、ことを特徴とするアクセス制御システムが提供される。
【０００９】
本発明の第４の態様では、ユーザ端末のユーザ認証を行い、認証トークンを当該ユーザ端末へ送信すると共に、認証ログをユーザ端末監視サーバへ送信する認証サーバと、上記認証ログを受けて、認証されたユーザ端末の位置情報属性をポリシーサーバに送信するユーザ端末監視サーバと、この位置情報属性を受け、ディレクトリサーバにユーザ端末の位置情報に基づくグループ属性の設定を実施させるポリシーサーバと、ユーザ端末からの上記認証トークンを受け、当該認証トークンに基づいてユーザのグループ属性をユーザ端末に返信するディレクトリサーバと、を有し、上記ユーザ端末上でアプリケーションを起動すると、アプリケーションが認証トークンを上記ディレクトリサーバに送信し、当該ディレクトリサーバは認証トークンに基づいてユーザのグループ属性をユーザ端末に送信し、ユーザ端末のアプリケーションが受信したグループ属性に基づいた機能を提供するようにする、ことを特徴とするアクセス制御システムが提供される。
【００１０】
本発明の第５の態様では、上記第１乃至第４の態様において、上記認証トークンは、少なくとも認証をパスしたユーザ端末のユーザＩＤ、またはＩＰアドレスを含むものとするアクセス制御システムが提供される。
【００１１】
本発明の第６の態様では、上記第１乃至第５の態様において、上記ポリシーサーバは、位置情報毎に静的なユーザとグループとを対応付けたテーブルを保持しており、上記ディレクトリサーバは、ユーザ位置情報を元に動的なユーザとグループとを対応付けたテーブルを保持している、ことを更に特徴とするアクセス制御システムが提供される。
【００１２】
本発明の第７の態様では、上記第６の態様において、上記ディレクトリサーバは、上記テーブルのユーザの所属グループを動的に変更することを更に特徴とするアクセス制御システムが提供される。
【発明の効果】
【００１３】
本発明によれば、ユーザ端末の物理的、論理的位置情報を管理し、当該情報に応じてその場にふさわしい権限を付与し、アクセス管理を行う通信制御装置及びアクセス制御システムを提供することができる。
【発明を実施するための最良の形態】
【００１４】
以下、添付図面を参照して、本発明の実施の形態について説明する。
【００１５】
図１には本発明の一実施の形態に係るアクセス制御システムの構成を示し説明する。
【００１６】
同図に示されるように、このアクセス制御システムは、例えばIEEE802.1x対応のRadius(Remote authentication dial-in user service)サーバ等の認証サーバ１とユーザ端末監視サーバ２、ポリシーサーバ３、ＤＨＣＰサーバ４、ファイルサーバ等ユーザ認証を使うサーバ（以下、アプリケーションサーバと称する）５、ＶＰＮ終端装置６、ディレクトリサーバ２６が企業のイントラネット７内に配設されており、このイントラネット７内の各サーバは、例えばIEEE802.1x対応のアクセススイッチ９ａ，９ｂを介して本社の各ユーザ端末１０ａ乃至１０ｃ（以下、符号１０で総称する）に接続され、アクセススイッチ１１を介して支社のユーザ端末１２ａ，１２ｂ（以下、符号１２で総称する）に接続されている。ユーザ端末１６は自宅内、ユーザ端末１７は外出先、ユーザ端末１４ａ，１４ｂ（以下、符号１４で総称する）は公衆ＳＯＨＯスポットから、公衆網８及びＶＰＮ終端装置６を介して、イントラネット７側にアクセス可能に接続されている。公衆ＳＯＨＯスポットからアクセスする場合には、アクセススイッチ１３を介してアクセスすることになるが、認証プロキシサーバ１５による認証を経なければならない。
【００１７】
このような構成において、認証サーバ１は、リモートアクセスしたユーザ端末１４，１６，１７を認証する。あるいは、アクセスしてきたユーザ端末１０，１２によるアクセススイッチ９，１１のポートの利用許可／不許可の決定を行う。そして、VLAN番号の割り当てやＩＰアドレスの割り当て、その他様々な情報をユーザ端末６に適宜割り当てる。
【００１８】
ユーザ端末監視サーバ２は、認証サーバ１のログ及びIEEE802.1x対応のアクセススイッチ９，１１からSNMP(Simple Network Management Protocol)を介して得たポート情報、ユーザ端末１０，１２等からSNMPやTelnetを介して得たユーザ端末情報に応じて、テーブルを作成する。また、このユーザ端末監視サーバ２は、ユーザ端末のVLANを動的に制御するためのAPI(Application Programming Interface)を有している。
【００１９】
ユーザ端末監視サーバ２は、図３乃至５に示されるようなユーザ端末情報テーブルを有する。即ち、図３のアクセススイッチ位置情報テーブルでは、アクセススイッチ９，１１の配設されている住所、フロア、ルームナンバ、エリアＩＤが関連付けられている。図４のユーザ端末情報テーブルは、ユーザＩＤとユーザ端末の端末ＩＤとネットワークＩＤ（ＩＰアドレス）、ＶＬＡＮＩＤ、アクセススイッチ９，１１のＩＤとポートＩＤ、アクセス形態が対応付けられている。さらに、図５のユーザ端末情報テーブルでは、ユーザＩＤと端末ＩＤ（ＭＡＣアドレス）、ユーザ端末６のネットワークＩＤ（ＩＰアドレス）、ＶＬＡＮＩＤ、アクセススイッチ５のＩＰアドレス、アクセススイッチ５のポートＩＤ、アクセス形態、アクセスの開始時刻、アクセス終了時刻、入退室情報、入室時間、退室時間、入退館情報、入室時間、退室時間が対応付けられて蓄積されている。
【００２０】
アプリケーションサーバ５は、例えばウィルスに感染したユーザ端末９，１１やセキュリティ対策状況が不十分なユーザ端末９，１１に対して、ＡＰＩを介して当該ユーザ端末９，１１の所属VLANを変更する。ポリシーサーバ３は、ユーザ端末１０，１２，１４，１６，１７の物理的な位置の情報に基づいて所定のポリシーを決定する。ポリシーには、ファイルアクセスを決定する為のアクセスリスト、閲覧可能性を決定する為のアクセスリスト、ユーザのコンフィグレーション情報等といった種々のものが含まれる。ディレクトリサーバ２６は、ユーザのアクセス権限を一括管理している。
【００２１】
本システムでは、上記アクセススイッチ位置情報テーブルやユーザ端末情報テーブルを参照して、ユーザ端末６の物理的な位置を特定する。そして、このような論理的な情報（どのＶＬＡＮに属するのか等）、物理的位置情報（どのフロアにいるのか等）に基づいてアクセス管理を行う点は、この実施の形態の特徴点の一つである。
【００２２】
ここで、ユーザ端末監視サーバ２によるデータ収集方法について説明する。
【００２３】
先ず、本社や支社からの接続の場合には、ユーザ端末監視サーバ２は、802.1x認証の認証ログ、及びアカウントログを認証サーバ１から受信するか、ＤＨＣＰサーバ４のログを受信するか、アクセススイッチ９，１１、不図示の無線アクセスポイントからはセッションの状態をSNMP等を介して受信するか、の方法によりデータを収集する。
【００２４】
一方、自宅や外出先からの接続（ユーザ端末１６，１７）の場合には、ユーザ端末監視サーバ２は、リモートアクセスの認証ログ、及びアカウントログをＶＰＮ終端装置６から受信するか、リモートアクセスのユーザ端末１６，１７に割り当てたＩＰアドレスをＶＰＮ終端装置６もしくはＤＨＣＰサーバ４から受信するか、リモートアクセスのセッションの状態をＶＰＮ終端装置６から受信するか、の方法によりデータを収集する。
【００２５】
また、公衆ＳＯＨＯスポット（ＳＯＨＯスペースをレンタルしている会社)からの接続の場合には、ユーザ端末監視サーバ２は、ＳＯＨＯスペースのネットワーク利用許可を802.1x等を用いて取得し、認証は認証プロキシを介して、イントラネット７上の認証サーバ１を用いる。例えば、Ａ社社員であれば、Ａ社の認証サーバ１を用いる。そして、ネットワーク接続後、リモートアクセスのセッションを構築する。
【００２６】
図２に示す例では、入退館・入退室管理サーバ１８を備えており、更にビルディングＸに入退室管理端末２３が配置されると共に、各フロアの各部屋に入退室管理端末２４，２５…が配置されており、社員等の入退館、入退室が管理されている。
【００２７】
以下、図６を参照して、本発明の一実施の形態に係るアクセス制御システムにより、そのアプリケーションサーバ５が、動的にユーザのアクセス権限を管理する処理の流れを詳細に説明する。先ず、ユーザ端末１６は、ユーザ認証（IEEE802.1x、リモートアクセスVPN認証、Windowsドメインへのログイン）を認証サーバ１に要求する（ステップＳ１）。この要求を受けると、認証サーバ１は、認証トークンをユーザ端末へ送信することになる（ステップＳ２）。この認証トークンに含まれる情報としては、ユーザＩＤ、ユーザＩＰアドレス、認証サーバＩＤ、認証時刻（タイムスタンプ）、有効期限がある。
【００２８】
続いて、認証サーバ１は認証ログ、アカウントログをユーザ端末監視サーバ２へ送信する（ステップＳ３）。ユーザ端末監視サーバ２は、ＮＡＳ ＩＤ等と物理的位置情報を対応つけて管理している。そこで、これを受けると、ユーザ端末監視サーバ２は、ポリシーサーバ３へ認証されたユーザの位置情報属性を送信する（ステップＳ４）。
【００２９】
この位置情報属性を受けると、ポリシーサーバ３は、ディレクトリサーバ２６にユーザ位置情報に基づくグループ属性の設定を実施させる（ステップＳ５）。続いて、ユーザ端末１６がアプリケーションサーバ２７にアクセスするが、これと同時に認証トークンを送信する（ステップＳ６）。これを受けると、アプリケーションサーバ２７が認証トークンをディレクトリサーバ２６に送信し（ステップＳ７）、ディレクトリサーバ２６は、この認証トークンに基づいてユーザのグループ属性をアプリケーションサーバ２７に送信する（ステップＳ８）。これを受信すると、アプリケーションサーバ２７は、このグループ属性に基づいた機能をユーザ端末１６に提供することになる（ステップＳ９）。
【００３０】
以下、図７を参照して、本発明の一実施の形態に係るアクセス制御システムにより、そのアプリケーションサーバ５が、ユーザ位置情報に応じて適切なプリンタ３０を指定する処理の流れを詳細に説明する。
【００３１】
先ず、ユーザ端末１６は、ユーザ認証（IEEE802.1x、リモートアクセスVPN認証、Windowsドメインへのログイン）を認証サーバ１に要求する（ステップＳ２０１）。この要求を受けると、認証サーバ１は、認証トークンをユーザ端末１６へ送信することになる（ステップＳ２０２）。尚、この認証トークンに含まれる情報としては、ユーザＩＤ、ユーザＩＰアドレス、認証サーバＩＤ、認証時刻（タイムスタンプ）、有効期限がある。
【００３２】
続いて、認証サーバ１は認証ログ、アカウントログをユーザ端末監視サーバ２へ送信する（ステップＳ２０３）。ユーザ端末監視サーバ２は、ＮＡＳ ＩＤ等と物理的位置情報を対応つけて管理している。そこで、これを受けると、ユーザ端末監視サーバ２は、ポリシーサーバ３へ認証されたユーザの位置情報属性を送信する（ステップＳ２０４）。
【００３３】
この位置情報属性を受けると、ポリシーサーバ３は、ディレクトリサーバ２６にユーザ位置情報に対して最適なプリンタ３０のＩＰアドレスを持つグループ属性の設定を実施させる（ステップＳ２０５）。続いて、ユーザ端末１６がプリンタサーバ３１にアクセスするが、これと同時に認証トークンを送信する（ステップＳ２０６）。これを受けると、プリンタサーバ３１が認証トークンをディレクトリサーバ２６に送信し（ステップＳ２０７）、ディレクトリサーバ２６は、この認証トークンに基づいてユーザのグループ属性をプリンタサーバ３１に送信する（ステップＳ８）。プリンタサーバ３１は、受信したグループ属性（プリンタのＩＰアドレス等）に基づきプリンタ３０を特定し、情報を送信し（ステップＳ２０９）、ユーザ端末１６には特定されたプリンタを通知する（ステップＳ２１０）。
【００３４】
次に、図８を参照して、本発明の一実施の形態に係るアクセス制御システムにより、その認証サーバ１に代わるシングルサインオンサーバ２８が、動的にユーザのアクセス権限を管理する処理の流れを詳細に説明する。ユーザ端末１６は、ユーザ認証（IEEE802.1x、リモートアクセスVPN認証、Windowsドメインへのログイン)をシングルサインオンサーバ２８に要求する（ステップＳ１１）。この要求を受けると、シングルサインオンサーバ２８は認証トークンをユーザ端末１６へ送信する（ステップＳ１２）。この認証トークンに含まれる情報としては、ユーザＩＤ、ユーザＩＰアドレス、認証サーバＩＤ、認証時刻（タイムスタンプ）、有効期限がある。続いて、シングルサインオンサーバ２８は、認証ログ、アカウントログをユーザ端末監視サーバ２へ送信する（ステップＳ１３）。すると、ユーザ端末監視サーバ２は、ポリシーサーバ３へ認証されたユーザの位置情報属性を送信する（ステップＳ１４）。この位置情報属性を受けると、ポリシーサーバ３はディレクトリサーバ２６にユーザ位置情報に基づくグループ属性の設定を実施する（ステップＳ１５）。
【００３５】
ユーザ端末１６がシングルサインオンサーバ２８にアプリケーション利用トークンの作成依頼を行なうと（ステップＳ１６）、シングルサインオンサーバ２８はディレクトリサーバ２６にユーザの所属グループ情報を要求する（ステップＳ１７）。ディレクトリサーバ２６は、この要求を受けると、当該ユーザの所属グループをシングルサインオンサーバ２８に返信する（ステップＳ１８）。すると、シングルサインオンサーバ２８が、アプリケーション利用トークンを作成し、ユーザ端末１６に配布する（ステップＳ１９）。このアプリケーション利用トークンを受けると、ユーザ端末１６は、アプリケーションサーバ２７に当該アプリケーション利用トークンを送信する（ステップＳ２０）。アプリケーションサーバ２７は、この利用トークンを認証し、利用トークンに基づくアクセス許可をユーザ端末１６に与える（ステップＳ２１）。
【００３６】
次に、図９を参照して、本発明の一実施の形態に係るアクセス制御システムにより、ユーザ端末のアプリケーションが動的にユーザのアクセス権限を管理する処理の流れを詳細に説明する。ユーザ端末１６は、認証サーバ１にユーザ認証(IEEE802.1x、リモートアクセスVPN認証、Windowsドメインへのログイン)を要求する（ステップＳ３１）。この要求を受けると認証サーバ１は認証トークンをユーザ端末１６へ送信する（ステップＳ３２）。この認証トークンに含まれる情報としては、ユーザＩＤ、ユーザＩＰアドレス、認証サーバＩＤ、認証時刻（タイムスタンプ）、有効期限がある。
【００３７】
認証サーバ１は、認証ログ、アカウントログをユーザ端末監視サーバ２へ送信する（ステップＳ３３）。これを受け、ユーザ端末監視サーバ２は、ポリシーサーバ３へ認証されたユーザの位置情報属性を送信する（ステップＳ３４）。この位置情報属性を受けて、ポリシーサーバ３は、ディレクトリサーバ２６にユーザ位置情報に基づくグループ属性の設定を実施させる（ステップＳ３５）。この後、ユーザ端末上でアプリケーションを起動すると（ステップＳ３６）、アプリケーションが認証トークンをディレクトリサーバ２６に送信し（ステップＳ３７）、ディレクトリサーバ２６は認証トークンに基づいてユーザのグループ属性をユーザ端末１６に送信し（ステップＳ３８）、アプリケーションは受信したグループ属性に基づいた機能を提供する（ステップＳ３９）。
【００３８】
次に図１０を参照して、本発明の一実施の形態に係るアクセス制御システムにおけるポリシーサーバ３とディレクトリサーバ２６との関係を詳細に説明する。
【００３９】
ポリシーサーバ３は、位置情報毎に静的（static）なユーザとグループとを対応付けたテーブルを保持している。一方、ディレクトリサーバ２６は、ユーザ位置情報を元に動的（dynamic）なユーザとグループとを対応付けたテーブルを保持している。ユーザ端末監視サーバ２からUser IDと位置情報(Position ID)がポリシーサーバ３に通知されると（ステップＳ４１）、ポリシーサーバ３は、このユーザ端末監視サーバ２から通知されたUser IDの所属すべきグループをディレクトリサーバ２６に通知する（ステップＳ４２）。次に図１１を参照して、本発明の一実施の形態に係るアクセス制御システムにおけるポリシーサーバ３とディレクトリサーバ２６との関係（特にトリガによりユーザの位置が変更される場合）を詳細に説明する。先に示した図１０と異なるのは、ユーザ端末監視サーバ２からUser IDと位置情報(Position ID)がポリシーサーバ３に通知されると（ステップＳ５１）、ポリシーサーバ３は、このユーザ端末監視サーバ２から通知されたUser IDの所属すべきグループをディレクトリサーバ２６に通知し（ステップＳ５２）、ディレクトリサーバ上で所属グループの変更が行なわれる点である。この例では、UserAの所属グループがPositionXからPositionYへと動的に変更されている。
【００４０】
次に図１２を参照して、本発明の一実施の形態に係るアクセス制御システムにおけるアプリケーションの応用例（位置情報をファイルサーバのアクセス管理に用いる場合）を詳細に説明する。ユーザ端末１６が、ファイルサーバ５にUser IDを含んだ認証トークンを送信すると（ステップＳ６１）、ファイルサーバ５は認証トークンを確認し、そのUser IDをキーとして当該ユーザが所属している所属グループ情報をディレクトリサーバ２６に問い合わせる（ステップＳ６２）。この問い合わせを受けると、ディレクトリサーバ２６は所属グループ情報をファイルサーバ５に返信する（ステップＳ６３）。ファイルサーバ５は所属グループ情報に基づき、ユーザ端末１６がアクセス可能な状態を当該ユーザ端末１６に返信する（ステップＳ６４）。尚、認証トークンの確認は、ファイルサーバ５が実施してもディレクトリサーバ２６が実施してもよい。ファイルサーバの保持しているテーブル中に示したRWCPｒSは、Read可能、Write可能、Copy可能、Print可能、Save可能といったファイルシステム特有の権限を意味している。例えば、RWのみの場合は、Read可能、及びWrite可能、Copy不可、Print不可、Save不可を表す。ファイルサーバ５は、ディレクトリ毎、もしくはファイル毎に上記権限管理を行うこととしている。
【００４１】
次に図１３を参照して、本発明の一実施の形態に係るアクセス制御システムにおけるアプリケーションの応用例（位置情報をＤＲＭサーバに用いる場合）を詳細に説明する。
【００４２】
ユーザ端末１６が、ＤＲＭサーバ２９にあるファイルのダウンロードをUser IDを含んだ認証トークンを送信することで要求すると（ステップＳ７１）、ＤＲＭサーバ２９は認証トークンを確認し、そのUser IDより当該ユーザが所属している所属グループ情報をディレクトリサーバ２６に問い合わせる（ステップＳ７２）。ディレクトリサーバ２６は、所属グループ情報をＤＲＭサーバ２９に返信する（ステップＳ７３）。ＤＲＭサーバ２９はユーザがそのファイルにアクセス可能な場合、ファイルサーバ５にリクエストを行なう（ステップＳ７４）。このリクエストを受けると、ファイルサーバ５は該当するファイルをＤＲＭサーバ２９に送信する（ステップＳ７５）。ＤＲＭサーバ２９は、このファイルをユーザが許可された権限を実行可能なように設定する。より具体的には、権限に応じてファイルをラップする（ステップＳ７６）。こうして、ＤＲＭサーバ２９は、ユーザ端末１６に権限管理を付与されたファイルを返信する（ステップＳ７７）。
【００４３】
次に図１４を参照して、本発明の一実施の形態に係るアクセス制御システムにおけるアプリケーションの応用例（位置情報をＤＲＭクライアントアプリケーションに用いる場合）を詳細に説明する。ユーザ端末１６がファイルサーバ５に対してファイル取得要求を出すと（ステップＳ８１）、ファイルサーバ５は該当するファイルのラップをＤＲＭサーバ２９に依頼する（ステップＳ８２）。ＤＲＭサーバ２９は、この依頼を受けると、ＰＷＣＰｒＳといった権限に応じてファイルをラップし（ステップＳ８３）、ラップしたファイルをファイルサーバ５に返信する（ステップＳ８４）。ファイルサーバ５は、このラップされたファイルをユーザ端末１６に返信し、ユーザ端末１６はラップされたファイルを取得することになる（ステップＳ８５）。ユーザ端末１６では、このファイルを使用するアプリケーションを起動し（ステップＳ８６）、当該アプリケーションがユーザ端末監視サーバ２に位置情報の問い合わせを行なう（ステップＳ８７）。
【００４４】
ユーザ端末監視サーバ２は、この問い合わせを受けると、位置情報をユーザ端末１６に返信する（ステップＳ８８）。こうして、ユーザ端末のアプリケーションは位置情報に応じたポリシーを選択し、ファイルの利用を開始することになる（ステップＳ８９）。ユーザ端末１６は、図１５，１６の如きテーブルを保持している。そして、ユーザ端末１６のアプリケーションは、図１６のテーブルを参照して位置情報に基づいて定義される自己の所属するグループを把握し、図１５のテーブルを参照して当該グループに与えられた権限を把握することになる。
【００４５】
次に図１７を参照して、本発明の一実施の形態に係るアクセス制御システムにおけるアプリケーションの応用例（位置情報をＤＲＭクライアントアプリケーションに用いる場合）を詳細に説明する。ユーザ端末１６がファイルサーバ５に対してファイル取得要求を出すと（ステップＳ１０１）、ファイルサーバ５は該当するファイルのラップをＤＲＭサーバ２９に依頼する（ステップＳ１０２）。ＤＲＭサーバ２９は、この依頼を受けると、ＰＷＣＰｒＳといった権限に応じてファイルをラップし（ステップＳ１０３）、ラップしたファイルをファイルサーバ５に返信する（ステップＳ１０４）。
【００４６】
ファイルサーバ５は、このラップされたファイルをユーザ端末１６に返信し、ユーザ端末１６はラップされたファイルを取得することになる（ステップＳ１０５）。ユーザ端末１６では、このファイルを使用するアプリケーションを起動し（ステップＳ１０６）、ＤＲＭサーバ２９に対してポリシー作成依頼を行う（ステップＳ１０７）。このポリシー作成依頼を受けると、ＤＲＭサーバ２９は、ポリシー作成後、ユーザ端末１６に返信する（ステップＳ１０８）。こうして、ユーザ端末１６はＤＲＭサーバ２９で動的に作成されたポリシーを使用し、ファイルの利用を開始する（ステップＳ１０９）。
【００４７】
以上、本発明の実施の形態について説明したが、本発明はこれに限定されることなくその趣旨を逸脱しない範囲で種々の改良・変更が可能である。
【００４８】
例えば、先に示した図２のように入退室・入退館情報を使用しない場合においても、物理位置情報を利用して、フリーアドレスの空間において位置情報に応じたアクセス権限の分割を行うことも可能である。この場合においては、例えば、多数の人が出入りするスペースであるため機密性の高い業務が制限されるべきエリア、個別仕切られたスペースであるためある程度の機密性が保たれており機密性の高い業務を認めてもよいエリア、等といった具合に空間をエリアでセグメント化し、各エリアの物理位置情報に基づいてアクセス権限を区分けする事も可能となる。
【図面の簡単な説明】
【００４９】
【図１】本発明の一実施の形態に係るアクセス制御システムの構成を示す図である。
【図２】本発明の一実施の形態に係るアクセス制御システムの改良例の構成を示す図である。
【図３】アクセススイッチ位置情報テーブルの一例を示す図である。
【図４】ユーザ端末情報テーブルの一例を示す図である。
【図５】ユーザ端末情報テーブルの一例を示す図である。
【図６】本発明の一実施の形態に係るアクセス制御システムにより、そのアプリケーションサーバ５が動的にユーザのアクセス権限を管理する処理の流れ示す図である。
【図７】本発明の一実施の形態に係るアクセス制御システムにより、そのアプリケーションサーバ５が、ユーザ位置情報に応じて適切なプリンタ３０を指定する処理の流れを詳細に説明するフローチャートである。
【図８】本発明の一実施の形態に係るアクセス制御システムにより、その認証サーバ１に代わるシングルサインオンサーバ２８が動的にユーザのアクセス権限を管理する処理の流れを示す図である。
【図９】本発明の一実施の形態に係るアクセス制御システムにより、ユーザ端末のアプリケーションが動的にユーザのアクセス権限を管理する処理の流れを示す図である。
【図１０】本発明の一実施の形態に係るアクセス制御システムにおけるポリシーサーバ３とディレクトリサーバ２６との関係を詳細に説明する図である。
【図１１】本発明の一実施の形態に係るアクセス制御システムにおける、ポリシーサーバ３とディレクトリサーバ２６との関係を詳細に示す図である。
【図１２】本発明の一実施の形態に係るアクセス制御システムにおけるアプリケーションの応用例（位置情報をファイルサーバのアクセス管理に用いる場合）を示す図である。
【図１３】本発明の一実施の形態に係るアクセス制御システムにおけるアプリケーションの応用例（位置情報をＤＲＭサーバに用いる場合）を示す図である。
【図１４】本発明の一実施の形態に係るアクセス制御システムにおけるアプリケーションの応用例（位置情報をＤＲＭクライアントアプリケーションに用いる場合）を示す図である。
【図１５】ユーザ端末１６の保持するテーブルを示す図である。
【図１６】ユーザ端末１６の保持するテーブルを示す図である。
【図１７】本発明の一実施の形態に係るアクセス制御システムにおける、アプリケーションの応用例（位置情報をＤＲＭクライアントアプリケーションに用いる場合）を示す図である。
【符号の説明】
【００５０】
１…認証サーバ、２…ユーザ端末監視サーバ、３…ポリシーサーバ、４…ＤＨＣＰサーバ、５…アプリケーションサーバ、６…ＶＰＮ終端装置、７…イントラネット、８…公衆網、９…アクセススイッチ、１０…ユーザ端末、１１…アクセススイッチ、１２…ユーザ端末、１３…アクセススイッチ、１４…ユーザ端末、１５…認証プロキシサーバ、１６…ユーザ端末、１７…ユーザ端末、１８…入退館・入退室管理サーバ、１９…アクセススイッチ、２０…ユーザ端末、２１…アクセススイッチ、２２…ユーザ端末、２３…入退館管理端末、２４…入退室管理端末、２５…入退室管理端末、２６…ディレクトリサーバ、２７…アプリケーションサーバ、２８…シングルサインオンサーバ、２９…ＤＲＭサーバ、３０…プリンタ、３１…プリンタサーバ。
【技術分野】
【０００１】
本発明は、ユーザ端末の物理的、論理的位置情報に基づいた権限付与、アクセス管理を行うアクセス制御システムに関する。
【背景技術】
【０００２】
共有ファイルサービスやWebアプリケーション、リモートアクセスVPN、IEEE802.1x dynamic VLANといったアプリケーションは、各アプリケーション毎にユーザ認証機能、ユーザ認可機能、及びアカウンティング機能を有している。しかし、これらは、アプリケーション作成の負荷が大きく、メンテナンスに多大な労力を要し、ユーザに各アプリケーション毎にログイン作業を要求する必要がある等といった問題を有している。このような従来のアプリケーションに関わる問題に鑑みて、今日では、ユーザ認証の負担軽減を図るNET Passportの如きシングルサインオンや、単なるyellowページに止まらずにユーザのアクセス権限を一括制御する機能を含むWindows（登録商標） Active DirectoryやLDAPサーバの如き統合ディレクトリに関わる技術が開発されているのが実状である。
【０００３】
一方、ユビキタス環境においては、時間や場所を問わずにネットワークリソースにアクセス可能な環境が提供される。このような環境整備と並行して、今日では個人情報保護法等といった情報セキュリティに関する法整備が進められているが、利便性の追求と安全性の追求は、ある意味、トレードオフの関係にある。例えば、ユビキタス環境下では、街中の喫茶店等から社内の個人情報等にアクセスする事も可能となるが、第三者に盗み見されるリスクがあることに鑑みれば、それに対して何らかの措置を講じる必要がある。このような状況に鑑みて、今日ではユーザ端末の位置情報に応じたアクセス管理を行う技術が開発されている。そして、同技術では、ユーザのアクセス権限の管理を、上記ユーザ認可部で統一的に管理するようになってきている。
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、前述したユーザ端末の位置情報に応じたアクセス管理では、ユーザのアクセス権限は静的（static）に決定され、ユーザの位置情報に応じて動的（dynamic）に変化させることはできていないのが実状である。また、前述したLDAPサーバやActive Directoryでは、「グループ」という概念を用いてユーザのアクセス権限を制御するようになってきているが、該アクセス権限は、静的（static）に決まり、ユーザの物理的、論理的位置情報等に動的（dynamic）に対応することはできていない。つまり、ユーザの置かれた環境を想定しての権限付与、アクセス管理はなされていない。
【０００５】
本発明の目的とするところは、ユーザ端末の物理的、論理的位置情報を管理し、当該情報に応じてその場にふさわしい権限を付与し、アクセス管理を行うことにある。
【課題を解決するための手段】
【０００６】
上記目的を達成するために、本発明の第１の態様では、ユーザ端末のユーザ認証を行い、認証トークンを当該ユーザ端末へ送信すると共に、認証ログをユーザ端末監視サーバへ送信する認証サーバと、上記認証ログを受けて、認証されたユーザ端末の位置情報属性をポリシーサーバに送信するユーザ端末監視サーバと、この位置情報属性を受け、ディレクトリサーバにユーザ端末の位置情報に基づくグループ属性の設定を実施させるポリシーサーバと、ユーザ端末からの上記認証トークンを受け、当該認証トークンをディレクトリサーバに送信するアプリケーションサーバと、この認証トークンに基づいてユーザのグループ属性をアプリケーションサーバに送信するディレクトリサーバと、を有し、上記アプリケーションサーバは、ユーザ端末のグループ属性を受信すると、当該グループ属性に基づいた機能をユーザ端末に提供する、ことを特徴とするアクセス制御システムが提供される。
【０００７】
本発明の第２の態様では、ユーザ端末のユーザ認証を行い、認証トークンを当該ユーザ端末へ送信すると共に、認証ログをユーザ端末監視サーバへ送信する認証サーバと、上記認証ログを受けて、認証されたユーザ端末の位置情報属性をポリシーサーバに送信するユーザ端末監視サーバと、この位置情報属性を受け、ディレクトリサーバにユーザ端末の位置情報に対して最適なプリンタのＩＰアドレスを有するグループ属性の設定を実施させるポリシーサーバと、ユーザ端末からの上記認証トークンを受け、当該認証トークンをディレクトリサーバに送信するプリンタサーバと、この認証トークンに基づいてユーザのグループ属性をプリンタサーバに送信するディレクトリサーバと、を有し、上記プリンタサーバは、ユーザ端末のグループ属性を受信すると、当該グループ属性に基づきプリンタを特定する、ことを特徴とするアクセス制御システムが提供される。
【０００８】
本発明の第３の態様では、ユーザ端末のユーザ認証を行い、認証トークンを当該ユーザ端末へ送信すると共に、認証ログをユーザ端末監視サーバへ送信するシングルサインオンサーバと、上記認証ログを受けて、認証されたユーザ端末の位置情報属性をポリシーサーバに送信するユーザ端末監視サーバと、この位置情報属性を受け、ディレクトリサーバにユーザ端末の位置情報に基づくグループ属性の設定を実施させるポリシーサーバと、上記ユーザ端末の所属グループを上記シングルサインオンサーバに返信するディレクトリサーバと、上記ユーザ端末に対して、アプリケーション利用トークンに基づくアクセス許可を与えるアプリケーションサーバと、を有し、上記ユーザ端末が上記シングルサインオンサーバにアプリケーション利用トークンの作成依頼を行なうと、当該シングルサインオンサーバは上記ディレクトリサーバから当該ユーザの所属グループを受け、アプリケーション利用トークンを作成し、上記ユーザ端末に配布し、当該ユーザ端末にアプリケーション利用トークンに基づくアクセス許可を与える、ことを特徴とするアクセス制御システムが提供される。
【０００９】
本発明の第４の態様では、ユーザ端末のユーザ認証を行い、認証トークンを当該ユーザ端末へ送信すると共に、認証ログをユーザ端末監視サーバへ送信する認証サーバと、上記認証ログを受けて、認証されたユーザ端末の位置情報属性をポリシーサーバに送信するユーザ端末監視サーバと、この位置情報属性を受け、ディレクトリサーバにユーザ端末の位置情報に基づくグループ属性の設定を実施させるポリシーサーバと、ユーザ端末からの上記認証トークンを受け、当該認証トークンに基づいてユーザのグループ属性をユーザ端末に返信するディレクトリサーバと、を有し、上記ユーザ端末上でアプリケーションを起動すると、アプリケーションが認証トークンを上記ディレクトリサーバに送信し、当該ディレクトリサーバは認証トークンに基づいてユーザのグループ属性をユーザ端末に送信し、ユーザ端末のアプリケーションが受信したグループ属性に基づいた機能を提供するようにする、ことを特徴とするアクセス制御システムが提供される。
【００１０】
本発明の第５の態様では、上記第１乃至第４の態様において、上記認証トークンは、少なくとも認証をパスしたユーザ端末のユーザＩＤ、またはＩＰアドレスを含むものとするアクセス制御システムが提供される。
【００１１】
本発明の第６の態様では、上記第１乃至第５の態様において、上記ポリシーサーバは、位置情報毎に静的なユーザとグループとを対応付けたテーブルを保持しており、上記ディレクトリサーバは、ユーザ位置情報を元に動的なユーザとグループとを対応付けたテーブルを保持している、ことを更に特徴とするアクセス制御システムが提供される。
【００１２】
本発明の第７の態様では、上記第６の態様において、上記ディレクトリサーバは、上記テーブルのユーザの所属グループを動的に変更することを更に特徴とするアクセス制御システムが提供される。
【発明の効果】
【００１３】
本発明によれば、ユーザ端末の物理的、論理的位置情報を管理し、当該情報に応じてその場にふさわしい権限を付与し、アクセス管理を行う通信制御装置及びアクセス制御システムを提供することができる。
【発明を実施するための最良の形態】
【００１４】
以下、添付図面を参照して、本発明の実施の形態について説明する。
【００１５】
図１には本発明の一実施の形態に係るアクセス制御システムの構成を示し説明する。
【００１６】
同図に示されるように、このアクセス制御システムは、例えばIEEE802.1x対応のRadius(Remote authentication dial-in user service)サーバ等の認証サーバ１とユーザ端末監視サーバ２、ポリシーサーバ３、ＤＨＣＰサーバ４、ファイルサーバ等ユーザ認証を使うサーバ（以下、アプリケーションサーバと称する）５、ＶＰＮ終端装置６、ディレクトリサーバ２６が企業のイントラネット７内に配設されており、このイントラネット７内の各サーバは、例えばIEEE802.1x対応のアクセススイッチ９ａ，９ｂを介して本社の各ユーザ端末１０ａ乃至１０ｃ（以下、符号１０で総称する）に接続され、アクセススイッチ１１を介して支社のユーザ端末１２ａ，１２ｂ（以下、符号１２で総称する）に接続されている。ユーザ端末１６は自宅内、ユーザ端末１７は外出先、ユーザ端末１４ａ，１４ｂ（以下、符号１４で総称する）は公衆ＳＯＨＯスポットから、公衆網８及びＶＰＮ終端装置６を介して、イントラネット７側にアクセス可能に接続されている。公衆ＳＯＨＯスポットからアクセスする場合には、アクセススイッチ１３を介してアクセスすることになるが、認証プロキシサーバ１５による認証を経なければならない。
【００１７】
このような構成において、認証サーバ１は、リモートアクセスしたユーザ端末１４，１６，１７を認証する。あるいは、アクセスしてきたユーザ端末１０，１２によるアクセススイッチ９，１１のポートの利用許可／不許可の決定を行う。そして、VLAN番号の割り当てやＩＰアドレスの割り当て、その他様々な情報をユーザ端末６に適宜割り当てる。
【００１８】
ユーザ端末監視サーバ２は、認証サーバ１のログ及びIEEE802.1x対応のアクセススイッチ９，１１からSNMP(Simple Network Management Protocol)を介して得たポート情報、ユーザ端末１０，１２等からSNMPやTelnetを介して得たユーザ端末情報に応じて、テーブルを作成する。また、このユーザ端末監視サーバ２は、ユーザ端末のVLANを動的に制御するためのAPI(Application Programming Interface)を有している。
【００１９】
ユーザ端末監視サーバ２は、図３乃至５に示されるようなユーザ端末情報テーブルを有する。即ち、図３のアクセススイッチ位置情報テーブルでは、アクセススイッチ９，１１の配設されている住所、フロア、ルームナンバ、エリアＩＤが関連付けられている。図４のユーザ端末情報テーブルは、ユーザＩＤとユーザ端末の端末ＩＤとネットワークＩＤ（ＩＰアドレス）、ＶＬＡＮＩＤ、アクセススイッチ９，１１のＩＤとポートＩＤ、アクセス形態が対応付けられている。さらに、図５のユーザ端末情報テーブルでは、ユーザＩＤと端末ＩＤ（ＭＡＣアドレス）、ユーザ端末６のネットワークＩＤ（ＩＰアドレス）、ＶＬＡＮＩＤ、アクセススイッチ５のＩＰアドレス、アクセススイッチ５のポートＩＤ、アクセス形態、アクセスの開始時刻、アクセス終了時刻、入退室情報、入室時間、退室時間、入退館情報、入室時間、退室時間が対応付けられて蓄積されている。
【００２０】
アプリケーションサーバ５は、例えばウィルスに感染したユーザ端末９，１１やセキュリティ対策状況が不十分なユーザ端末９，１１に対して、ＡＰＩを介して当該ユーザ端末９，１１の所属VLANを変更する。ポリシーサーバ３は、ユーザ端末１０，１２，１４，１６，１７の物理的な位置の情報に基づいて所定のポリシーを決定する。ポリシーには、ファイルアクセスを決定する為のアクセスリスト、閲覧可能性を決定する為のアクセスリスト、ユーザのコンフィグレーション情報等といった種々のものが含まれる。ディレクトリサーバ２６は、ユーザのアクセス権限を一括管理している。
【００２１】
本システムでは、上記アクセススイッチ位置情報テーブルやユーザ端末情報テーブルを参照して、ユーザ端末６の物理的な位置を特定する。そして、このような論理的な情報（どのＶＬＡＮに属するのか等）、物理的位置情報（どのフロアにいるのか等）に基づいてアクセス管理を行う点は、この実施の形態の特徴点の一つである。
【００２２】
ここで、ユーザ端末監視サーバ２によるデータ収集方法について説明する。
【００２３】
先ず、本社や支社からの接続の場合には、ユーザ端末監視サーバ２は、802.1x認証の認証ログ、及びアカウントログを認証サーバ１から受信するか、ＤＨＣＰサーバ４のログを受信するか、アクセススイッチ９，１１、不図示の無線アクセスポイントからはセッションの状態をSNMP等を介して受信するか、の方法によりデータを収集する。
【００２４】
一方、自宅や外出先からの接続（ユーザ端末１６，１７）の場合には、ユーザ端末監視サーバ２は、リモートアクセスの認証ログ、及びアカウントログをＶＰＮ終端装置６から受信するか、リモートアクセスのユーザ端末１６，１７に割り当てたＩＰアドレスをＶＰＮ終端装置６もしくはＤＨＣＰサーバ４から受信するか、リモートアクセスのセッションの状態をＶＰＮ終端装置６から受信するか、の方法によりデータを収集する。
【００２５】
また、公衆ＳＯＨＯスポット（ＳＯＨＯスペースをレンタルしている会社)からの接続の場合には、ユーザ端末監視サーバ２は、ＳＯＨＯスペースのネットワーク利用許可を802.1x等を用いて取得し、認証は認証プロキシを介して、イントラネット７上の認証サーバ１を用いる。例えば、Ａ社社員であれば、Ａ社の認証サーバ１を用いる。そして、ネットワーク接続後、リモートアクセスのセッションを構築する。
【００２６】
図２に示す例では、入退館・入退室管理サーバ１８を備えており、更にビルディングＸに入退室管理端末２３が配置されると共に、各フロアの各部屋に入退室管理端末２４，２５…が配置されており、社員等の入退館、入退室が管理されている。
【００２７】
以下、図６を参照して、本発明の一実施の形態に係るアクセス制御システムにより、そのアプリケーションサーバ５が、動的にユーザのアクセス権限を管理する処理の流れを詳細に説明する。先ず、ユーザ端末１６は、ユーザ認証（IEEE802.1x、リモートアクセスVPN認証、Windowsドメインへのログイン）を認証サーバ１に要求する（ステップＳ１）。この要求を受けると、認証サーバ１は、認証トークンをユーザ端末へ送信することになる（ステップＳ２）。この認証トークンに含まれる情報としては、ユーザＩＤ、ユーザＩＰアドレス、認証サーバＩＤ、認証時刻（タイムスタンプ）、有効期限がある。
【００２８】
続いて、認証サーバ１は認証ログ、アカウントログをユーザ端末監視サーバ２へ送信する（ステップＳ３）。ユーザ端末監視サーバ２は、ＮＡＳ ＩＤ等と物理的位置情報を対応つけて管理している。そこで、これを受けると、ユーザ端末監視サーバ２は、ポリシーサーバ３へ認証されたユーザの位置情報属性を送信する（ステップＳ４）。
【００２９】
この位置情報属性を受けると、ポリシーサーバ３は、ディレクトリサーバ２６にユーザ位置情報に基づくグループ属性の設定を実施させる（ステップＳ５）。続いて、ユーザ端末１６がアプリケーションサーバ２７にアクセスするが、これと同時に認証トークンを送信する（ステップＳ６）。これを受けると、アプリケーションサーバ２７が認証トークンをディレクトリサーバ２６に送信し（ステップＳ７）、ディレクトリサーバ２６は、この認証トークンに基づいてユーザのグループ属性をアプリケーションサーバ２７に送信する（ステップＳ８）。これを受信すると、アプリケーションサーバ２７は、このグループ属性に基づいた機能をユーザ端末１６に提供することになる（ステップＳ９）。
【００３０】
以下、図７を参照して、本発明の一実施の形態に係るアクセス制御システムにより、そのアプリケーションサーバ５が、ユーザ位置情報に応じて適切なプリンタ３０を指定する処理の流れを詳細に説明する。
【００３１】
先ず、ユーザ端末１６は、ユーザ認証（IEEE802.1x、リモートアクセスVPN認証、Windowsドメインへのログイン）を認証サーバ１に要求する（ステップＳ２０１）。この要求を受けると、認証サーバ１は、認証トークンをユーザ端末１６へ送信することになる（ステップＳ２０２）。尚、この認証トークンに含まれる情報としては、ユーザＩＤ、ユーザＩＰアドレス、認証サーバＩＤ、認証時刻（タイムスタンプ）、有効期限がある。
【００３２】
続いて、認証サーバ１は認証ログ、アカウントログをユーザ端末監視サーバ２へ送信する（ステップＳ２０３）。ユーザ端末監視サーバ２は、ＮＡＳ ＩＤ等と物理的位置情報を対応つけて管理している。そこで、これを受けると、ユーザ端末監視サーバ２は、ポリシーサーバ３へ認証されたユーザの位置情報属性を送信する（ステップＳ２０４）。
【００３３】
この位置情報属性を受けると、ポリシーサーバ３は、ディレクトリサーバ２６にユーザ位置情報に対して最適なプリンタ３０のＩＰアドレスを持つグループ属性の設定を実施させる（ステップＳ２０５）。続いて、ユーザ端末１６がプリンタサーバ３１にアクセスするが、これと同時に認証トークンを送信する（ステップＳ２０６）。これを受けると、プリンタサーバ３１が認証トークンをディレクトリサーバ２６に送信し（ステップＳ２０７）、ディレクトリサーバ２６は、この認証トークンに基づいてユーザのグループ属性をプリンタサーバ３１に送信する（ステップＳ８）。プリンタサーバ３１は、受信したグループ属性（プリンタのＩＰアドレス等）に基づきプリンタ３０を特定し、情報を送信し（ステップＳ２０９）、ユーザ端末１６には特定されたプリンタを通知する（ステップＳ２１０）。
【００３４】
次に、図８を参照して、本発明の一実施の形態に係るアクセス制御システムにより、その認証サーバ１に代わるシングルサインオンサーバ２８が、動的にユーザのアクセス権限を管理する処理の流れを詳細に説明する。ユーザ端末１６は、ユーザ認証（IEEE802.1x、リモートアクセスVPN認証、Windowsドメインへのログイン)をシングルサインオンサーバ２８に要求する（ステップＳ１１）。この要求を受けると、シングルサインオンサーバ２８は認証トークンをユーザ端末１６へ送信する（ステップＳ１２）。この認証トークンに含まれる情報としては、ユーザＩＤ、ユーザＩＰアドレス、認証サーバＩＤ、認証時刻（タイムスタンプ）、有効期限がある。続いて、シングルサインオンサーバ２８は、認証ログ、アカウントログをユーザ端末監視サーバ２へ送信する（ステップＳ１３）。すると、ユーザ端末監視サーバ２は、ポリシーサーバ３へ認証されたユーザの位置情報属性を送信する（ステップＳ１４）。この位置情報属性を受けると、ポリシーサーバ３はディレクトリサーバ２６にユーザ位置情報に基づくグループ属性の設定を実施する（ステップＳ１５）。
【００３５】
ユーザ端末１６がシングルサインオンサーバ２８にアプリケーション利用トークンの作成依頼を行なうと（ステップＳ１６）、シングルサインオンサーバ２８はディレクトリサーバ２６にユーザの所属グループ情報を要求する（ステップＳ１７）。ディレクトリサーバ２６は、この要求を受けると、当該ユーザの所属グループをシングルサインオンサーバ２８に返信する（ステップＳ１８）。すると、シングルサインオンサーバ２８が、アプリケーション利用トークンを作成し、ユーザ端末１６に配布する（ステップＳ１９）。このアプリケーション利用トークンを受けると、ユーザ端末１６は、アプリケーションサーバ２７に当該アプリケーション利用トークンを送信する（ステップＳ２０）。アプリケーションサーバ２７は、この利用トークンを認証し、利用トークンに基づくアクセス許可をユーザ端末１６に与える（ステップＳ２１）。
【００３６】
次に、図９を参照して、本発明の一実施の形態に係るアクセス制御システムにより、ユーザ端末のアプリケーションが動的にユーザのアクセス権限を管理する処理の流れを詳細に説明する。ユーザ端末１６は、認証サーバ１にユーザ認証(IEEE802.1x、リモートアクセスVPN認証、Windowsドメインへのログイン)を要求する（ステップＳ３１）。この要求を受けると認証サーバ１は認証トークンをユーザ端末１６へ送信する（ステップＳ３２）。この認証トークンに含まれる情報としては、ユーザＩＤ、ユーザＩＰアドレス、認証サーバＩＤ、認証時刻（タイムスタンプ）、有効期限がある。
【００３７】
認証サーバ１は、認証ログ、アカウントログをユーザ端末監視サーバ２へ送信する（ステップＳ３３）。これを受け、ユーザ端末監視サーバ２は、ポリシーサーバ３へ認証されたユーザの位置情報属性を送信する（ステップＳ３４）。この位置情報属性を受けて、ポリシーサーバ３は、ディレクトリサーバ２６にユーザ位置情報に基づくグループ属性の設定を実施させる（ステップＳ３５）。この後、ユーザ端末上でアプリケーションを起動すると（ステップＳ３６）、アプリケーションが認証トークンをディレクトリサーバ２６に送信し（ステップＳ３７）、ディレクトリサーバ２６は認証トークンに基づいてユーザのグループ属性をユーザ端末１６に送信し（ステップＳ３８）、アプリケーションは受信したグループ属性に基づいた機能を提供する（ステップＳ３９）。
【００３８】
次に図１０を参照して、本発明の一実施の形態に係るアクセス制御システムにおけるポリシーサーバ３とディレクトリサーバ２６との関係を詳細に説明する。
【００３９】
ポリシーサーバ３は、位置情報毎に静的（static）なユーザとグループとを対応付けたテーブルを保持している。一方、ディレクトリサーバ２６は、ユーザ位置情報を元に動的（dynamic）なユーザとグループとを対応付けたテーブルを保持している。ユーザ端末監視サーバ２からUser IDと位置情報(Position ID)がポリシーサーバ３に通知されると（ステップＳ４１）、ポリシーサーバ３は、このユーザ端末監視サーバ２から通知されたUser IDの所属すべきグループをディレクトリサーバ２６に通知する（ステップＳ４２）。次に図１１を参照して、本発明の一実施の形態に係るアクセス制御システムにおけるポリシーサーバ３とディレクトリサーバ２６との関係（特にトリガによりユーザの位置が変更される場合）を詳細に説明する。先に示した図１０と異なるのは、ユーザ端末監視サーバ２からUser IDと位置情報(Position ID)がポリシーサーバ３に通知されると（ステップＳ５１）、ポリシーサーバ３は、このユーザ端末監視サーバ２から通知されたUser IDの所属すべきグループをディレクトリサーバ２６に通知し（ステップＳ５２）、ディレクトリサーバ上で所属グループの変更が行なわれる点である。この例では、UserAの所属グループがPositionXからPositionYへと動的に変更されている。
【００４０】
次に図１２を参照して、本発明の一実施の形態に係るアクセス制御システムにおけるアプリケーションの応用例（位置情報をファイルサーバのアクセス管理に用いる場合）を詳細に説明する。ユーザ端末１６が、ファイルサーバ５にUser IDを含んだ認証トークンを送信すると（ステップＳ６１）、ファイルサーバ５は認証トークンを確認し、そのUser IDをキーとして当該ユーザが所属している所属グループ情報をディレクトリサーバ２６に問い合わせる（ステップＳ６２）。この問い合わせを受けると、ディレクトリサーバ２６は所属グループ情報をファイルサーバ５に返信する（ステップＳ６３）。ファイルサーバ５は所属グループ情報に基づき、ユーザ端末１６がアクセス可能な状態を当該ユーザ端末１６に返信する（ステップＳ６４）。尚、認証トークンの確認は、ファイルサーバ５が実施してもディレクトリサーバ２６が実施してもよい。ファイルサーバの保持しているテーブル中に示したRWCPｒSは、Read可能、Write可能、Copy可能、Print可能、Save可能といったファイルシステム特有の権限を意味している。例えば、RWのみの場合は、Read可能、及びWrite可能、Copy不可、Print不可、Save不可を表す。ファイルサーバ５は、ディレクトリ毎、もしくはファイル毎に上記権限管理を行うこととしている。
【００４１】
次に図１３を参照して、本発明の一実施の形態に係るアクセス制御システムにおけるアプリケーションの応用例（位置情報をＤＲＭサーバに用いる場合）を詳細に説明する。
【００４２】
ユーザ端末１６が、ＤＲＭサーバ２９にあるファイルのダウンロードをUser IDを含んだ認証トークンを送信することで要求すると（ステップＳ７１）、ＤＲＭサーバ２９は認証トークンを確認し、そのUser IDより当該ユーザが所属している所属グループ情報をディレクトリサーバ２６に問い合わせる（ステップＳ７２）。ディレクトリサーバ２６は、所属グループ情報をＤＲＭサーバ２９に返信する（ステップＳ７３）。ＤＲＭサーバ２９はユーザがそのファイルにアクセス可能な場合、ファイルサーバ５にリクエストを行なう（ステップＳ７４）。このリクエストを受けると、ファイルサーバ５は該当するファイルをＤＲＭサーバ２９に送信する（ステップＳ７５）。ＤＲＭサーバ２９は、このファイルをユーザが許可された権限を実行可能なように設定する。より具体的には、権限に応じてファイルをラップする（ステップＳ７６）。こうして、ＤＲＭサーバ２９は、ユーザ端末１６に権限管理を付与されたファイルを返信する（ステップＳ７７）。
【００４３】
次に図１４を参照して、本発明の一実施の形態に係るアクセス制御システムにおけるアプリケーションの応用例（位置情報をＤＲＭクライアントアプリケーションに用いる場合）を詳細に説明する。ユーザ端末１６がファイルサーバ５に対してファイル取得要求を出すと（ステップＳ８１）、ファイルサーバ５は該当するファイルのラップをＤＲＭサーバ２９に依頼する（ステップＳ８２）。ＤＲＭサーバ２９は、この依頼を受けると、ＰＷＣＰｒＳといった権限に応じてファイルをラップし（ステップＳ８３）、ラップしたファイルをファイルサーバ５に返信する（ステップＳ８４）。ファイルサーバ５は、このラップされたファイルをユーザ端末１６に返信し、ユーザ端末１６はラップされたファイルを取得することになる（ステップＳ８５）。ユーザ端末１６では、このファイルを使用するアプリケーションを起動し（ステップＳ８６）、当該アプリケーションがユーザ端末監視サーバ２に位置情報の問い合わせを行なう（ステップＳ８７）。
【００４４】
ユーザ端末監視サーバ２は、この問い合わせを受けると、位置情報をユーザ端末１６に返信する（ステップＳ８８）。こうして、ユーザ端末のアプリケーションは位置情報に応じたポリシーを選択し、ファイルの利用を開始することになる（ステップＳ８９）。ユーザ端末１６は、図１５，１６の如きテーブルを保持している。そして、ユーザ端末１６のアプリケーションは、図１６のテーブルを参照して位置情報に基づいて定義される自己の所属するグループを把握し、図１５のテーブルを参照して当該グループに与えられた権限を把握することになる。
【００４５】
次に図１７を参照して、本発明の一実施の形態に係るアクセス制御システムにおけるアプリケーションの応用例（位置情報をＤＲＭクライアントアプリケーションに用いる場合）を詳細に説明する。ユーザ端末１６がファイルサーバ５に対してファイル取得要求を出すと（ステップＳ１０１）、ファイルサーバ５は該当するファイルのラップをＤＲＭサーバ２９に依頼する（ステップＳ１０２）。ＤＲＭサーバ２９は、この依頼を受けると、ＰＷＣＰｒＳといった権限に応じてファイルをラップし（ステップＳ１０３）、ラップしたファイルをファイルサーバ５に返信する（ステップＳ１０４）。
【００４６】
ファイルサーバ５は、このラップされたファイルをユーザ端末１６に返信し、ユーザ端末１６はラップされたファイルを取得することになる（ステップＳ１０５）。ユーザ端末１６では、このファイルを使用するアプリケーションを起動し（ステップＳ１０６）、ＤＲＭサーバ２９に対してポリシー作成依頼を行う（ステップＳ１０７）。このポリシー作成依頼を受けると、ＤＲＭサーバ２９は、ポリシー作成後、ユーザ端末１６に返信する（ステップＳ１０８）。こうして、ユーザ端末１６はＤＲＭサーバ２９で動的に作成されたポリシーを使用し、ファイルの利用を開始する（ステップＳ１０９）。
【００４７】
以上、本発明の実施の形態について説明したが、本発明はこれに限定されることなくその趣旨を逸脱しない範囲で種々の改良・変更が可能である。
【００４８】
例えば、先に示した図２のように入退室・入退館情報を使用しない場合においても、物理位置情報を利用して、フリーアドレスの空間において位置情報に応じたアクセス権限の分割を行うことも可能である。この場合においては、例えば、多数の人が出入りするスペースであるため機密性の高い業務が制限されるべきエリア、個別仕切られたスペースであるためある程度の機密性が保たれており機密性の高い業務を認めてもよいエリア、等といった具合に空間をエリアでセグメント化し、各エリアの物理位置情報に基づいてアクセス権限を区分けする事も可能となる。
【図面の簡単な説明】
【００４９】
【図１】本発明の一実施の形態に係るアクセス制御システムの構成を示す図である。
【図２】本発明の一実施の形態に係るアクセス制御システムの改良例の構成を示す図である。
【図３】アクセススイッチ位置情報テーブルの一例を示す図である。
【図４】ユーザ端末情報テーブルの一例を示す図である。
【図５】ユーザ端末情報テーブルの一例を示す図である。
【図６】本発明の一実施の形態に係るアクセス制御システムにより、そのアプリケーションサーバ５が動的にユーザのアクセス権限を管理する処理の流れ示す図である。
【図７】本発明の一実施の形態に係るアクセス制御システムにより、そのアプリケーションサーバ５が、ユーザ位置情報に応じて適切なプリンタ３０を指定する処理の流れを詳細に説明するフローチャートである。
【図８】本発明の一実施の形態に係るアクセス制御システムにより、その認証サーバ１に代わるシングルサインオンサーバ２８が動的にユーザのアクセス権限を管理する処理の流れを示す図である。
【図９】本発明の一実施の形態に係るアクセス制御システムにより、ユーザ端末のアプリケーションが動的にユーザのアクセス権限を管理する処理の流れを示す図である。
【図１０】本発明の一実施の形態に係るアクセス制御システムにおけるポリシーサーバ３とディレクトリサーバ２６との関係を詳細に説明する図である。
【図１１】本発明の一実施の形態に係るアクセス制御システムにおける、ポリシーサーバ３とディレクトリサーバ２６との関係を詳細に示す図である。
【図１２】本発明の一実施の形態に係るアクセス制御システムにおけるアプリケーションの応用例（位置情報をファイルサーバのアクセス管理に用いる場合）を示す図である。
【図１３】本発明の一実施の形態に係るアクセス制御システムにおけるアプリケーションの応用例（位置情報をＤＲＭサーバに用いる場合）を示す図である。
【図１４】本発明の一実施の形態に係るアクセス制御システムにおけるアプリケーションの応用例（位置情報をＤＲＭクライアントアプリケーションに用いる場合）を示す図である。
【図１５】ユーザ端末１６の保持するテーブルを示す図である。
【図１６】ユーザ端末１６の保持するテーブルを示す図である。
【図１７】本発明の一実施の形態に係るアクセス制御システムにおける、アプリケーションの応用例（位置情報をＤＲＭクライアントアプリケーションに用いる場合）を示す図である。
【符号の説明】
【００５０】
１…認証サーバ、２…ユーザ端末監視サーバ、３…ポリシーサーバ、４…ＤＨＣＰサーバ、５…アプリケーションサーバ、６…ＶＰＮ終端装置、７…イントラネット、８…公衆網、９…アクセススイッチ、１０…ユーザ端末、１１…アクセススイッチ、１２…ユーザ端末、１３…アクセススイッチ、１４…ユーザ端末、１５…認証プロキシサーバ、１６…ユーザ端末、１７…ユーザ端末、１８…入退館・入退室管理サーバ、１９…アクセススイッチ、２０…ユーザ端末、２１…アクセススイッチ、２２…ユーザ端末、２３…入退館管理端末、２４…入退室管理端末、２５…入退室管理端末、２６…ディレクトリサーバ、２７…アプリケーションサーバ、２８…シングルサインオンサーバ、２９…ＤＲＭサーバ、３０…プリンタ、３１…プリンタサーバ。
【特許請求の範囲】
【請求項１】
ユーザ端末のユーザ認証を行い、認証トークンを当該ユーザ端末へ送信すると共に、認証ログをユーザ端末監視サーバへ送信する認証サーバと、
上記認証ログを受けて、認証されたユーザ端末の位置情報属性をポリシーサーバに送信するユーザ端末監視サーバと、
この位置情報属性を受け、ディレクトリサーバにユーザ端末の位置情報に基づくグループ属性の設定を実施させるポリシーサーバと、
ユーザ端末からの上記認証トークンを受け、当該認証トークンをディレクトリサーバに送信するアプリケーションサーバと、
この認証トークンに基づいてユーザのグループ属性をアプリケーションサーバに送信するディレクトリサーバと、
を有し、上記アプリケーションサーバは、ユーザ端末のグループ属性を受信すると、当該グループ属性に基づいた機能をユーザ端末に提供する、
ことを特徴とするアクセス制御システム。
【請求項２】
ユーザ端末のユーザ認証を行い、認証トークンを当該ユーザ端末へ送信すると共に、認証ログをユーザ端末監視サーバへ送信する認証サーバと、
上記認証ログを受けて、認証されたユーザ端末の位置情報属性をポリシーサーバに送信するユーザ端末監視サーバと、
この位置情報属性を受け、ディレクトリサーバにユーザ端末の位置情報に対して最適なプリンタのＩＰアドレスを有するグループ属性の設定を実施させるポリシーサーバと、
ユーザ端末からの上記認証トークンを受け、当該認証トークンをディレクトリサーバに送信するプリンタサーバと、
この認証トークンに基づいてユーザのグループ属性をプリンタサーバに送信するディレクトリサーバと、
を有し、上記プリンタサーバは、ユーザ端末のグループ属性を受信すると、当該グループ属性に基づきプリンタを特定する、ことを特徴とするアクセス制御システム。
【請求項３】
ユーザ端末のユーザ認証を行い、認証トークンを当該ユーザ端末へ送信すると共に、認証ログをユーザ端末監視サーバへ送信するシングルサインオンサーバと、
上記認証ログを受けて、認証されたユーザ端末の位置情報属性をポリシーサーバに送信するユーザ端末監視サーバと、
この位置情報属性を受け、ディレクトリサーバにユーザ端末の位置情報に基づくグループ属性の設定を実施させるポリシーサーバと、
上記ユーザ端末の所属グループを上記シングルサインオンサーバに返信するディレクトリサーバと、
上記ユーザ端末に対して、アプリケーション利用トークンに基づくアクセス許可を与えるアプリケーションサーバと、
を有し、上記ユーザ端末が上記シングルサインオンサーバにアプリケーション利用トークンの作成依頼を行なうと、当該シングルサインオンサーバは上記ディレクトリサーバから当該ユーザの所属グループを受け、アプリケーション利用トークンを作成し、上記ユーザ端末に配布し、当該ユーザ端末にアプリケーション利用トークンに基づくアクセス許可を与える、ことを特徴とするアクセス制御システム。
【請求項４】
ユーザ端末のユーザ認証を行い、認証トークンを当該ユーザ端末へ送信すると共に、認証ログをユーザ端末監視サーバへ送信する認証サーバと、
上記認証ログを受けて、認証されたユーザ端末の位置情報属性をポリシーサーバに送信するユーザ端末監視サーバと、
この位置情報属性を受け、ディレクトリサーバにユーザ端末の位置情報に基づくグループ属性の設定を実施させるポリシーサーバと、
ユーザ端末からの上記認証トークンを受け、当該認証トークンに基づいてユーザのグループ属性をユーザ端末に返信するディレクトリサーバと、
を有し、上記ユーザ端末上でアプリケーションを起動すると、アプリケーションが認証トークンを上記ディレクトリサーバに送信し、当該ディレクトリサーバは認証トークンに基づいてユーザのグループ属性をユーザ端末に送信し、ユーザ端末のアプリケーションが受信したグループ属性に基づいた機能を提供するようにする、
ことを特徴とするアクセス制御システム。
【請求項５】
上記認証トークンは、少なくとも認証をパスしたユーザ端末のユーザＩＤ、またはＩＰアドレスを含むものとする請求項１乃至４のいずれかに記載のアクセス制御システム。
【請求項６】
上記ポリシーサーバは、位置情報毎に静的なユーザとグループとを対応付けたテーブルを保持しており、上記ディレクトリサーバは、ユーザ位置情報を元に動的なユーザとグループとを対応付けたテーブルを保持している、ことを更に特徴とする請求項１乃至５のいずれかに記載のアクセス制御システム。
【請求項７】
上記ディレクトリサーバは、上記テーブルのユーザの所属グループを動的に変更することを更に特徴とする請求項６に記載のアクセス制御システム。
【請求項１】
ユーザ端末のユーザ認証を行い、認証トークンを当該ユーザ端末へ送信すると共に、認証ログをユーザ端末監視サーバへ送信する認証サーバと、
上記認証ログを受けて、認証されたユーザ端末の位置情報属性をポリシーサーバに送信するユーザ端末監視サーバと、
この位置情報属性を受け、ディレクトリサーバにユーザ端末の位置情報に基づくグループ属性の設定を実施させるポリシーサーバと、
ユーザ端末からの上記認証トークンを受け、当該認証トークンをディレクトリサーバに送信するアプリケーションサーバと、
この認証トークンに基づいてユーザのグループ属性をアプリケーションサーバに送信するディレクトリサーバと、
を有し、上記アプリケーションサーバは、ユーザ端末のグループ属性を受信すると、当該グループ属性に基づいた機能をユーザ端末に提供する、
ことを特徴とするアクセス制御システム。
【請求項２】
ユーザ端末のユーザ認証を行い、認証トークンを当該ユーザ端末へ送信すると共に、認証ログをユーザ端末監視サーバへ送信する認証サーバと、
上記認証ログを受けて、認証されたユーザ端末の位置情報属性をポリシーサーバに送信するユーザ端末監視サーバと、
この位置情報属性を受け、ディレクトリサーバにユーザ端末の位置情報に対して最適なプリンタのＩＰアドレスを有するグループ属性の設定を実施させるポリシーサーバと、
ユーザ端末からの上記認証トークンを受け、当該認証トークンをディレクトリサーバに送信するプリンタサーバと、
この認証トークンに基づいてユーザのグループ属性をプリンタサーバに送信するディレクトリサーバと、
を有し、上記プリンタサーバは、ユーザ端末のグループ属性を受信すると、当該グループ属性に基づきプリンタを特定する、ことを特徴とするアクセス制御システム。
【請求項３】
ユーザ端末のユーザ認証を行い、認証トークンを当該ユーザ端末へ送信すると共に、認証ログをユーザ端末監視サーバへ送信するシングルサインオンサーバと、
上記認証ログを受けて、認証されたユーザ端末の位置情報属性をポリシーサーバに送信するユーザ端末監視サーバと、
この位置情報属性を受け、ディレクトリサーバにユーザ端末の位置情報に基づくグループ属性の設定を実施させるポリシーサーバと、
上記ユーザ端末の所属グループを上記シングルサインオンサーバに返信するディレクトリサーバと、
上記ユーザ端末に対して、アプリケーション利用トークンに基づくアクセス許可を与えるアプリケーションサーバと、
を有し、上記ユーザ端末が上記シングルサインオンサーバにアプリケーション利用トークンの作成依頼を行なうと、当該シングルサインオンサーバは上記ディレクトリサーバから当該ユーザの所属グループを受け、アプリケーション利用トークンを作成し、上記ユーザ端末に配布し、当該ユーザ端末にアプリケーション利用トークンに基づくアクセス許可を与える、ことを特徴とするアクセス制御システム。
【請求項４】
ユーザ端末のユーザ認証を行い、認証トークンを当該ユーザ端末へ送信すると共に、認証ログをユーザ端末監視サーバへ送信する認証サーバと、
上記認証ログを受けて、認証されたユーザ端末の位置情報属性をポリシーサーバに送信するユーザ端末監視サーバと、
この位置情報属性を受け、ディレクトリサーバにユーザ端末の位置情報に基づくグループ属性の設定を実施させるポリシーサーバと、
ユーザ端末からの上記認証トークンを受け、当該認証トークンに基づいてユーザのグループ属性をユーザ端末に返信するディレクトリサーバと、
を有し、上記ユーザ端末上でアプリケーションを起動すると、アプリケーションが認証トークンを上記ディレクトリサーバに送信し、当該ディレクトリサーバは認証トークンに基づいてユーザのグループ属性をユーザ端末に送信し、ユーザ端末のアプリケーションが受信したグループ属性に基づいた機能を提供するようにする、
ことを特徴とするアクセス制御システム。
【請求項５】
上記認証トークンは、少なくとも認証をパスしたユーザ端末のユーザＩＤ、またはＩＰアドレスを含むものとする請求項１乃至４のいずれかに記載のアクセス制御システム。
【請求項６】
上記ポリシーサーバは、位置情報毎に静的なユーザとグループとを対応付けたテーブルを保持しており、上記ディレクトリサーバは、ユーザ位置情報を元に動的なユーザとグループとを対応付けたテーブルを保持している、ことを更に特徴とする請求項１乃至５のいずれかに記載のアクセス制御システム。
【請求項７】
上記ディレクトリサーバは、上記テーブルのユーザの所属グループを動的に変更することを更に特徴とする請求項６に記載のアクセス制御システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【公開番号】特開２００７−９４５４８（Ｐ２００７−９４５４８Ａ）
【公開日】平成１９年４月１２日（２００７．４．１２）
【国際特許分類】
【出願番号】特願２００５−２８０３０５（Ｐ２００５−２８０３０５）
【出願日】平成１７年９月２７日（２００５．９．２７）
【出願人】（５０２３０６６６０）ソフトバンクテレコム株式会社 (63)
【Ｆターム（参考）】
【公開日】平成１９年４月１２日（２００７．４．１２）
【国際特許分類】
【出願日】平成１７年９月２７日（２００５．９．２７）
【出願人】（５０２３０６６６０）ソフトバンクテレコム株式会社 (63)
【Ｆターム（参考）】
[ Back to top ]