アクセス制御方法、プログラムおよびアクセス制御システム
【課題】１つのサーバ内の複数の情報に対し、一手順で多次元的なアクセス制御を行うことを目的とする。
【解決手段】認証装置１は、カテゴリ‐クラス情報を格納しており、このカテゴリ‐クラス情報は、カテゴリ情報と、クラス情報と、を有しており、Ｗｅｂサーバ３のＷｅｂページは、カテゴリ情報と、クラス情報に応じてアクセスの可・不可を決定するアクセス権決定情報と、を有しており、クライアント端末２は、認証キーを有しており、Ｗｅｂサーバ３が、クライアント端末２から認証キーを取得すると、認証装置１が、認証キーを基に認証処理を行い、認証キーに該当するカテゴリ情報に対応するクラス情報を取得し、Ｗｅｂサーバ３は、受信したクラス情報と、アクセス権決定情報と、を基に、クライアント端末２によるＷｅｂページへのアクセスを制御することを特徴とする。
【解決手段】認証装置１は、カテゴリ‐クラス情報を格納しており、このカテゴリ‐クラス情報は、カテゴリ情報と、クラス情報と、を有しており、Ｗｅｂサーバ３のＷｅｂページは、カテゴリ情報と、クラス情報に応じてアクセスの可・不可を決定するアクセス権決定情報と、を有しており、クライアント端末２は、認証キーを有しており、Ｗｅｂサーバ３が、クライアント端末２から認証キーを取得すると、認証装置１が、認証キーを基に認証処理を行い、認証キーに該当するカテゴリ情報に対応するクラス情報を取得し、Ｗｅｂサーバ３は、受信したクラス情報と、アクセス権決定情報と、を基に、クライアント端末２によるＷｅｂページへのアクセスを制御することを特徴とする。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセス制御方法、プログラムおよびアクセス制御システムの技術に関する。
【背景技術】
【０００２】
従来、アクセスする情報（アクセス対象情報）毎にパスワードを設定することによって、アクセス対象情報へのアクセス制御を行っている。
また、特許文献１には、Ｗｅｂサーバへの認証の代理を行う代理サーバ、代理サーバのためのプログラムおよび代理アクセス方法が記載されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００８−２２５５７３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、アクセス対象情報毎にパスワードを覚えることは煩わしく、またアクセス対象情報が大量になると、大量のパスワードを覚えなくてはならないという問題がある。
また、特許文献１に記載の技術では、複数のＷｅｂサーバへのアクセス制御を行っているが、１つのＷｅｂサーバ内におけるファイルへのアクセス制御は行っていない。
さらに具体的にいえば、既存のＷｅｂアプリケーションでアクセス制御を実現する場合は、.htaccessによるディレクトリ単位でアクセスを制御する方法と、アクセス制御リスト（ＡＣＬ：Access Control List）によるファイルやフォルダのパーミッションでアクセスを制御する方法があるが、その場合だと２次元的なアクセス制御しか実現できず，多次元的なアクセス制御をすることができない。
【０００５】
このような背景に鑑みて本発明がなされたのであり、本発明は、１つのサーバ内の複数の情報に対し、一手順で多次元的なアクセス制御を行うことを目的とする。
【課題を解決するための手段】
【０００６】
前記課題を解決するため、本発明は、情報へのアクセスを制御するアクセス制御システムによるアクセス制御方法であって、前記アクセス制御システムは、認証装置と、複数のアクセス対象情報を記憶部に格納している１台の情報処理装置と、クライアント装置を有し、前記認証装置は、ユーザに関する識別情報である認証キーに対応する前記ユーザの属性に関する情報である属性情報を記憶部に格納しており、前記属性情報は、前記ユーザが有する属性の属性名と、前記属性名に対応する属性値と、を有しており、前記情報処理装置の前記アクセス対象情報は、前記属性名と、前記属性名に対応する前記属性値に応じてアクセスの可・不可を決定するアクセス権決定情報と、を有しており、前記クライアント装置は、前記認証キーを記憶部に有しており、前記情報処理装置が、前記クライアント装置から前記認証キーを取得すると、前記認証キーを前記認証装置へ送信し、前記認証装置が、前記認証キーを基に、認証処理を行い、前記認証キーを記憶部に一時記憶し、前記認証処理が成功すると、前記情報処理装置が、前記属性名を前記認証装置に送信し、前記認証装置が、前記一時記憶している認証キーに該当するユーザの前記属性名に対応する前記属性値を前記認証装置の記憶部から取得し、前記属性値を前記情報処理装置へ送信し、前記情報処理装置が、前記受信した前記属性値と、前記アクセス対象情報に含まれるアクセス権決定情報と、を基に、前記クライアント装置による前記アクセス対象情報へのアクセスの可・不可を決定することで、前記アクセス対象情報へのアクセスを制御することを特徴とする。
その他の解決手段については、実施形態中に記載する。
【発明の効果】
【０００７】
本発明によれば、１つのサーバ内の複数の情報に対し、一手順で多次元的なアクセス制御が可能となる。
【図面の簡単な説明】
【０００８】
【図１】本実施形態に係るアクセス制御システムの構成例を示す図である。
【図２】本実施形態に係る認証装置の構成例を示す図である。
【図３】本実施形態に係るクライアント端末の構成例を示す図である。
【図４】本実施形態に係るＷｅｂサーバの構成例を示す図である。
【図５】カテゴリ‐クラス情報の例を示す図である。
【図６】カテゴリ‐クラス情報の別の例を示す図である。
【図７】本実施形態に係るアクセス制御処理の流れを示すタイミングチャートである。
【図８】本実施形態に係るアクセス制御の例を示す図である。
【図９】本実施形態に係るクライアント端末における画面遷移の例を示す図である。
【発明を実施するための形態】
【０００９】
以下、本発明を実施するための形態（「実施形態」という）について、適宜図面を参照しながら詳細に説明する。ここでは、一例として、本発明におけるアクセス対象情報として、Ｗｅｂページを適用した場合について説明するが、これに限らず、Ｗｅｂサーバを一般的なファイルサーバなどとし、アクセス対象情報としての文書ファイルや、画像ファイルなどの閲覧・更新・コピーなどを制御するシステムに適用してもよい。
【００１０】
（システム構成）
図１は、本実施形態に係るアクセス制御システムの構成例を示す図である。
アクセス制御システム１０は、認証装置１と、１台のＷｅｂサーバ３（情報処理装置）と、複数のクライアント端末２（クライアント装置）とを有している。クライアント端末２は、例えば、外部装置から認証キー２２２（図３）を取得して、この認証キー２２２をＷｅｂサーバ３へ送信し、また、Ｗｅｂサーバ３から送信されたＷｅｂページを表示部２１２（図３）に表示する機能を有する。Ｗｅｂサーバ３は、ＷＡＮ（Wide Area Network）などのネットワーク４を介してクライアント端末２と接続しており、クライアント端末２から認証キー２２２を受信すると、認証装置１へ認証を要求し、認証装置１から送信されたカテゴリ情報・クラス情報を基に、Ｗｅｂページの閲覧を制御する機能を有する。認証装置１はＷｅｂサーバ３から認証を要求されると、認証処理を行い、認証キー２２２に該当するユーザ５のカテゴリ情報、クラス情報をＷｅｂサーバ３へ送信する機能を有する。
【００１１】
（認証装置構成）
図２は、本実施形態に係る認証装置の構成例を示す図である。
認証装置１は、情報を処理する処理部１００と、情報を記憶する記憶部１１０と、情報を送受信する送受信部１２０とを有する。
記憶部１１０には、認証キー２２２（図３）に対応するユーザ５（図１）の所属関係に関する情報であるカテゴリ‐クラス情報１１１（属性情報）が格納されている。カテゴリ‐クラス情報１１１の説明は、図５および図６を参照して後記する。
所属関係には、ユーザが属する組織や、プロジェクトや、グループなどが考えられる。あるいは、所属関係として、性別、星座、血液型、干支を適用してもよい。本実施形態では、所属関係としてユーザが属する会社内の組織を適用した例を記載する。
処理部１００は、認証処理部１０１および送受信処理部１０２を有する。認証処理部１０１は、Ｗｅｂサーバ３から送信された認証キー２２２が、カテゴリ‐クラス情報１１１に登録されている認証キー２２２であるか否かを判定し、カテゴリ‐クラス情報１１１に含まれるカテゴリ情報・クラス情報を記憶部１１０から取得して、Ｗｅｂサーバ３（図１）へ送信する処理を行う。送受信処理部１０２は、送受信部１２０を介して、情報の送受信に関する処理を行う機能を有する。
【００１２】
処理部１００、認証処理部１０１および送受信処理部１０２は、図示しないＲＯＭ（Read Only Memory）や、ＨＤ（Hard Disk）に格納されたプログラムが、ＲＡＭ（Random Access Memory）に展開され、ＣＰＵ（Central Processing Unit）によって実行されることによって具現化する。
【００１３】
（クライアント端末構成）
図３は、本実施形態に係るクライアント端末の構成例を示す図である。
クライアント端末２は、キーボードや、マウスなどである入力部２１１と、ディスプレイなどの表示部２１２と、ＵＳＢ（Universal Serial Bus）デバイス２２０を接続するＵＳＢ接続部２１３と、情報の送受信を行う送受信部２１４と、情報を処理する処理部２００とを有する。
ＵＳＢ接続部２１３には、ＩＣ（Integrated Circuit）カード２２１が挿入されたＵＳＢデバイス２２０が接続される。ＩＣカード２２１には、認証キー２２２が格納されており、認証装置１はＵＳＢデバイス２２０を介して、ＩＣカード２２１の認証キー２２２を取得する。なお、認証キー２２２は、ＩＣカード２２１を特定する識別情報であるが、ＩＣカード２２１を所有するユーザ５に関する識別情報でもある。
【００１４】
処理部２００は、ブラウザ２０１、アプレット２０２、認証キー取得部２０３および送受信処理部２０４を有している。ブラウザ２０１は、Ｗｅｂサーバ３（図１）から取得したＷｅｂページ３１１（図４）の情報を表示部２１２に表示したり、入力部２１１を介して入力された情報をＷｅｂサーバ３へ送信する機能を有している。アプレット２０２は、本実施形態ではＷｅｂサーバ３から認証キー２２２の要求を受信すると、認証キー取得部２０３を介してＵＳＢデバイス２２０に挿入されたＩＣカード２２１中の認証キー２２２を取得する機能を有する。認証キー取得部２０３は、アプレット２０２からの要求を受けてＵＳＢデバイス２２０に挿入されているＩＣカード２２１の認証キー２２２を取得し、アプレット２０２へ渡す機能を有する。送受信処理部２０４は、送受信部２１４を介して、情報の送受信に関する処理を行う機能を有する。
【００１５】
なお、本実施形態では、認証キー２２２はＵＳＢデバイス２２０に挿入されるＩＣカード２２１に格納されている構成としたが、これに限らず、ＲＦＩＤ（Radio Frequency Identification）などでもよい。読み取り専用のＩＣカード２２１に認証キー２２２を格納することで、耐タンパ性を有することができる。
【００１６】
処理部２００および各部２０１〜２０４は、図示しないＲＯＭや、ＨＤに格納されたプログラムが、ＲＡＭに展開され、ＣＰＵによって実行されることによって具現化する。
【００１７】
（Ｗｅｂサーバ構成）
図４は、本実施形態に係るＷｅｂサーバの構成例を示す図である。
Ｗｅｂ装置は、情報を処理する処理部３００と、情報を記憶する記憶部３１０と、情報を送受信する送受信部３２１とを有する。
記憶部３１０には、閲覧可能なカテゴリ情報や、クラス情報を含むアクセス権決定情報３１２を有しているＷｅｂページ３１１が格納されている。なお、アクセス権決定情報３１２には、このＷｅｂページ３１１を閲覧可能（アクセス可能）な有効期間に関する情報が含まれていてもよい。
処理部３００は、Ｗｅｂアプリケーション３０１および送受信処理部３０２を有する。Ｗｅｂアプリケーション３０１は、クライアント端末２（図１）からＷｅｂページ３１１の閲覧要求を受信すると、クライアント端末２に対し認証キー２２２（図３）を要求することによって、クライアント端末２から認証キー２２２を取得する。そして、Ｗｅｂアプリケーション３０１は、その認証キー２２２を基に、認証装置１（図１）から認証結果や、カテゴリ情報や、クラス情報を取得し、認証キー２２２に対応するユーザ５が要求しているＷｅｂページ３１１の閲覧が可能か否かを判定する。この判定の結果、閲覧可能であれば、Ｗｅｂアプリケーション３０１は、クライアント端末２に要求されたＷｅｂページ３１１を送信する。
送受信処理部３０２は、送受信部３２１を介して、情報の送受信に関する処理を行う機能を有する。
なお、Ｗｅｂサーバ３に認証装置１の機能を持たせてもよい。
【００１８】
処理部３００、Ｗｅｂアプリケーション３０１および送受信処理部３０２は、図示しないＲＯＭや、ＨＤに格納されたプログラムが、ＲＡＭに展開され、ＣＰＵによって実行されることによって具現化する。
【００１９】
図５は、カテゴリ‐クラス情報の例を示す図である。
図５は、カテゴリ‐クラス情報１１１がデータベース形式で記述されている例を示している。
図５に示す例では、「ｋｅｙ」‐「ｃａｔｅｇｏｒｙ」‐「ｃｌａｓｓ」‐「ｓｔａｒｔ ｔｉｍｅ」‐「ｅｎｄ ｔｉｍｅ」の順にカテゴリ‐クラス情報１１１が記述されている。
【００２０】
図５において、「ｋｅｙ」には認証キー２２２（図３）が記述される。「ｃａｔｅｇｏｒｙ」には認証キー２２２に該当するユーザ５（図１）が属する（ユーザ５が有する）カテゴリ情報（属性名）が記述される。「ｃｌａｓｓ」には認証キー２２２に該当するユーザ５が属する（ユーザ５が有する）クラス情報（属性値）が記述される。カテゴリ情報としては、例えば「ｓｈｏｋｕｉ（職位）」、「ｂｕｓｈｏ（部署）」などが記述される。また、カテゴリ「ｓｈｏｋｕｉ（職位）」のクラス情報としては、例えば、「ｙａｋｕｉｎ（役員）」、「ｂｕｃｈｏ（部長）」や、「ｋａｃｈｏ（課長）」や、「ｇｉｓｈｉ（技師）」などが記述される。また、「ｂｕｓｈｏ（部署）」のクラス情報としては、「ｓｏｕｍｕ（総務）」や、「ｚａｉｍｕ（財務）」などが記述される。
【００２１】
また、「ｓｔａｒｔ ｔｉｍｅ」は、例えば、認証キー２２２に対応するユーザ５が「ｃａｔｅｇｏｒｙ」‐「ｃｌａｓｓ」に該当する組織に着任した日付である。同様に、「ｅｎｄ ｔｉｍｅ」は、例えば、認証キー２２２に対応するユーザ５が「ｃａｔｅｇｏｒｙ」‐「ｃｌａｓｓ」に該当する組織から離任した日付である。
このような「ｓｔａｒｔ ｔｉｍｅ」および「ｅｎｄ ｔｉｍｅ」を設けることによって、認証キー２２２に対応するユーザ５が「ｃａｔｅｇｏｒｙ」‐「ｃｌａｓｓ」に該当する組織に現在いなくても、「ｓｔａｒｔ ｔｉｍｅ」‐「ｅｎｄ ｔｉｍｅ」に該当する期間（有効期間）に作成された情報を閲覧することなどができる。
なお、「ｓｔａｒｔ ｔｉｍｅ」および「ｅｎｄ ｔｉｍｅ」は省略可能である。
また、図５において「ｅｎｄ ｔｉｍｅ」の「＊」は、そのユーザ５が該当する組織に依然として在任していることを示している。なお、各項目は図５と同様のため説明を省略する。また、図６の「ｃｌａｓｓ」における「ｎｏｎｅ」は役についていないことを示している。
なお、図５に示すように、１つの認証キー２２２に対し「ｋｅｙ」‐「ｃａｔｅｇｏｒｙ」‐「ｃｌａｓｓ」‐「ｓｔａｒｔ ｔｉｍｅ」‐「ｅｎｄ ｔｉｍｅ」を複数記述してもよい。
これにより、１つの認証キー２２２に対し、多次元的なアクセス制御の設定ができる。
【００２２】
また、図５に示すカテゴリ‐クラス情報１１１には、同じ「ｓｔａｒｔ ｔｉｍｅ」‐「ｅｎｄ ｔｉｍｅ」で規定される期間において、同じカテゴリ２つ以上存在してはならないという静的条件が付随する。
【００２３】
図６は、カテゴリ‐クラス情報をＢＮＦ（Backus-Naur Form）で表現した例を示す図である。
図６のＢＮＦを使用した場合、「ａｕｔｈ ｒｅｃｏｒｄ」は「認証キー（ｋｅｙ）」と「ｃｌａｓｓｉｆｙ」の組で定義されることを示している。さらに、「ｃｌａｓｓｉｆｙ」は、＜ｃａｔｅｇｏｒｙ＞＜ｃｌａｓｓ＞＜ｓｔａｒｔ ｔｉｍｅ＞＜ｅｎｄ ｔｉｍｅ＞の組で定義されることを示している。
【００２４】
（タイミングチャート）
図７は、本実施形態に係るアクセス制御処理の流れを示すタイミングチャートである。
まず、クライアント端末２においてブラウザ２０１が起動される（Ｓ１０１）。
そして、ブラウザ２０１は、Ｗｅｂサーバ３のＷｅｂアプリケーション３０１に対しＷｅｂページ３１１（図４）を要求する（Ｓ１０２）。
Ｗｅｂページ３１１の要求を受信したＷｅｂアプリケーション３０１は、クライアント端末２のアプレット２０２に対し認証キー２２２を要求する（Ｓ１０３）。
認証キー２２２の要求を受信したアプレット２０２は、クライアント端末２の認証キー取得部２０３に対し認証キー２２２を要求する（Ｓ１０４）。
認証キー２２２を要求された認証キー取得部２０３は、ＩＣカード２２１から認証キー２２２を取得し（Ｓ１０５）、取得した認証キー２２２をアプレット２０２へ渡す。なお、認証キー取得部２０３がＩＣカード２２１にアクセスするときに、ユーザ５に対しパスワードを要求し、入力部２１１を介して入力されたパスワードが正しければ、認証キー取得部２０３がＩＣカード２２１から認証キー２２２を取得する。
【００２５】
認証キー２２２をわたされたアプレット２０２は、Ｗｅｂアプリケーション３０１へ認証キー２２２を送信する（Ｓ１０６）。
認証キー２２２を受信したＷｅｂアプリケーション３０１は、認証装置１の認証処理部１０１に認証キー２２２を送信し、認証を要求する（Ｓ１０７）。
認証を要求された認証処理部１０１は、まず渡された認証キー２２２が記憶部１１０のカテゴリ‐クラス情報１１１に存在するか否かを判定する認証処理を行い（Ｓ１０８）、認証結果をＷｅｂアプリケーション３０１へ送信する。このとき、認証処理の結果は、以下の４通りが存在する。
（１）認証成功
（２）アクセス禁止：認証キー２２２がカテゴリ‐クラス情報１１１に存在するものの、カテゴリ情報とクラス情報が登録されていない。つまり、認証装置１が管理しているすべての情報に対するアクセスが禁止されている。
（３）認証キー２２２がカテゴリ‐クラス情報１１１に存在しない。
（４）記憶部１１０が故障している。
認証結果が、（２）〜（４）である場合、Ｗｅｂアプリケーション３０１は、以下のステップＳ１０９，Ｓ１１１，Ｓ１１３の処理を行わずに、それぞれのケースに対応するメッセージを有するＷｅｂページ３１１をブラウザ２０１に送信する（図示せず）。
【００２６】
ステップＳ１０８の認証処理の結果、認証に成功した場合、Ｗｅｂアプリケーション３０１は、認証処理部１０１へ再び認証キー２２２を送信することによって、認証キー２２２に対応するカテゴリ情報を要求する（Ｓ１０９）。カテゴリ情報の要求を受信した認証処理部１０１は、認証キー２２２をキーとしてカテゴリ‐クラス情報１１１からカテゴリ情報を取得し（Ｓ１１０）、取得したカテゴリ情報をＷｅｂアプリケーション３０１へ送信する。カテゴリ情報は、例えば、対応するすべてのカテゴリ名が半角空白を連結文字列とした文字列である。なお、ステップＳ１１０の段階で、認証処理部１０１は、送信された認証キー２２２を一時的に記憶しておく。
例えば、図５を参照すると、認証キー２２２が「０００２２２」であれば、カテゴリ情報には「ｂｕｓｈｏ（部署）」および「ｓｙｏｋｕｉ（職位）」が含まれる。
【００２７】
次に、Ｗｅｂアプリケーション３０１は、認証処理部１０１へステップＳ１１０で取得したカテゴリ情報を送信することによって、カテゴリ情報に対応するクラス情報を要求する（Ｓ１１１）。
クラス情報の要求を受信した認証処理部１０１は、送信されたカテゴリ情報と、ステップＳ１１０の段階で一時的に記憶された認証キー２２２の組み合わせに対するクラス情報をカテゴリ‐クラス情報１１１から取得し（Ｓ１１２）、取得したクラス情報をＷｅｂアプリケーション３０１へ送信する。
例えば、図５を参照すると、認証キー２２２が「０００２２２」であれば、ステップＳ１１１で、「ｂｕｓｈｏ（部署）」および「ｓｙｏｋｕｉ（職位）」が認証装置１へ送信され、ステップＳ１１２で取得されるクラス情報には、「ｓｏｕｍｕ（総務）」、「ｎｏｎｅ（職位なし）」、「ｇｉｓｈｉ（技師）」、「ｋａｃｈｏ（課長）」が含まれる。
【００２８】
また、Ｗｅｂページ３１１のアクセス権決定情報３１２にアクセス可能な有効期間に関する情報が格納されている場合、Ｗｅｂアプリケーション３０１は、このアクセス可能な有効期間に関する情報をＷｅｂページ３１１から取得し、ステップＳ１１１の段階でカテゴリ情報と共に認証処理部１０１へ送信してもよい。この場合、認証装置１の認証処理部１０１は、一時記憶している認証キー２２２と、カテゴリ情報の組み合わせに対応するクラス情報の内、受信した有効期間が「ｓｔａｒｔ ｔｉｍｅ」‐「ｅｎｄ ｔｉｍｅ」で示される期間内であるクラス情報をカテゴリ‐クラス情報１１１から抽出し、抽出したクラス情報をＷｅｂアプリケーション３０１へ送信してもよい。
【００２９】
Ｗｅｂアプリケーション３０１は、ブラウザ２０１が閲覧を要求しているＷｅｂページ３１１が、認証結果に含まれるカテゴリ情報と、クラス情報に対して閲覧可能か否かを判定する閲覧判定処理を行う（Ｓ１１３）。この処理は、取得したカテゴリ情報と、クラス情報と、Ｗｅｂページ３１１に付随している閲覧可能なカテゴリ情報・クラス情報とを比較することによって行われる。
ステップＳ１１３の結果、閲覧可能である場合は、Ｗｅｂページ３１１をブラウザ２０１に送信し（Ｓ１１４）、ブラウザ２０１が受信したＷｅｂページ３１１を表示部２１２（図３）に表示させる（Ｓ１１５）。
なお、閲覧判定処理の結果、閲覧不可である場合、ステップＳ１１４において、Ｗｅｂアプリケーション３０１は、それぞれのケースに対応したメッセージを含むＷｅｂページ３１１をブラウザ２０１へ送信する（図示せず）。
【００３０】
本実施形態では、認証処理、カテゴリ情報・クラス情報の取得を３段階に分けて行っているが、これに限らず、認証キーを基に、認証処理およびカテゴリ情報・クラス情報の取得を一度に行ってもよい。
また、ステップＳ１０８の認証処理で、認証成功した場合、Ｗｅｂアプリケーション３０１が、クライアント端末２がアクセス（閲覧）しようとしているＷｅｂページ３１１のアクセス権決定情報３１２に格納されているカテゴリ情報を認証装置１に送信してもよい。
このようにすることで、ステップＳ１０９〜Ｓ１１１のカテゴリ情報要求〜クラス情報要求の処理を省略できる。この場合、認証装置１の認証処理部１０１は、一時記憶している認証キー２２２と、送信されたカテゴリ情報をキーとして、カテゴリ‐クラス情報１１１を検索し、該当するクラス情報を取得すると、取得したクラス情報をＷｅｂサーバ３へ送信する。
【００３１】
（アクセス制御例）
図８は、本実施形態に係るアクセス制御の例を示す図である。
例えば、ユーザ「Ａ」〜「Ｃ」はカテゴリ「職位」でクラス「課長」に属しており、ユーザ「Ｃ」〜「Ｅ」はカテゴリ「部署」でクラス「総務」に属しているものとする。つまり、ユーザ「Ｃ」は総務課の課長である。ユーザ「Ａ」、「Ｂ」にも「部署」の情報が付随しており、ユーザ「Ｄ」、「Ｅ」にも「職位」の情報が付随しているが、煩雑になるのを避けるため、ここでは省略する。
そして、「ページ（Ｗｅｂページ３１１（図４））ａ」は、「職位」「課長」の人が閲覧可能であり、「課長」以外のユーザは閲覧不可である。「ページｂ」は、「職位」「課長」のユーザも、「部署」「総務」のユーザも閲覧可能である。「ページｃ」は、「部署」「総務」の人が閲覧可能であり、「総務」以外のユーザは閲覧不可である。
つまり、「ページａ」は「課長」である人が閲覧することができ、「ページｃ」は「総務」の人が閲覧することができる。
【００３２】
従って、ユーザ「Ａ」〜「Ｃ」は、「ページａ」を閲覧でき、ユーザ「Ｄ」、「Ｅ」は「ページａ」を閲覧できない（図８のページとユーザを結ぶ線において、実線は閲覧可能を示し、破線は閲覧不可を示している）。また、「ページｂ」を、ユーザ「Ａ」〜「Ｅ」のすべてが閲覧できる。そして、ユーザ「Ｃ」〜「Ｅ」は、「ページｃ」を閲覧でき、ユーザ「Ａ」、「Ｂ」は「ページｃ」を閲覧できない。
このように、本実施形態によれば同じＷｅｂサーバ３内のページの閲覧可・不可を容易に制御できる。
【００３３】
（画面遷移）
次に、適宜図３を参照しつつ、図９に沿ってクライアント端末２における画面遷移を説明する。
図９は、本実施形態に係るクライアント端末における画面遷移の例を示す図である。
まず、クライアント端末２のマウスなどで画面９０１に表示されているサンプルページのリンクをクリックするなどして、サンプルページの表示を要求する。
すると、パスワード（ＰＩＮ：Personal Identification Number）の入力画面９０２がクライアント端末２の表示部２１２に表示される。
ユーザ５が入力部２１１を介して、ＰＩＮ入力フォーム９１１にパスワードを入力し、ＯＫボタン９１２を選択入力すると、図７のステップＳ１０４〜Ｓ１１４の処理が行われる。
認証が成功し、Ｗｅｂサーバ３が取得したカテゴリ情報・クラス情報と、Ｗｅｂページ３１１にアクセス権決定情報３１２（図４）における閲覧可能なカテゴリ情報・クラス情報とを比較した結果、ユーザ５が閲覧を要求しているＷｅｂページ３１１へのアクセスが可能であれば、画面９０３のようにユーザ５が閲覧を要求しているＷｅｂページ３１１がクライアント端末２の表示部２１２に表示される。
認証キー２２２がカテゴリ‐クラス情報１１１に存在せず、図７のステップＳ１０８における認証処理が失敗した場合、画面９０４のように認証失敗のメッセージがクライアント端末２の表示部２１２に表示される。
認証処理の結果、認証キー２２２がカテゴリ‐クラス情報１１１に存在しているものの、カテゴリ情報と、クラス情報が登録されていなかったり、カテゴリ情報と、クラス情報が登録されているものの、認証キー２２２に係るカテゴリとクラスではユーザ５がアクセスを要求しているＷｅｂページ３１１へアクセスできなかったりした場合、画面９０５のようにアクセスができない旨のメッセージがクライアント端末２の表示部２１２に表示される。
【００３４】
本実施形態では、Ｗｅｂページ３１１の閲覧を制御するアクセス制御システム１０を例としたが、これに限らず、前記したようにＷｅｂサーバ３を一般的なファイルサーバなどとし、文書ファイルや、画像ファイルなどの閲覧・更新・コピーなどを制御するシステムに適用してもよい。この場合、本実施形態におけるＷｅｂページ３１１が、文書ファイルや、画像ファイルとなる。この文書ファイルや、画像ファイルには、閲覧・更新・コピーの各処理に対し、可能なカテゴリ情報・クラス情報が付随する。
【００３５】
本実施形態によれば、１つのサーバ内の複数の情報に対し、多次元的なアクセス制御が可能となる。
【符号の説明】
【００３６】
１ 認証装置
２ クライアント端末（クライアント装置）
３ Ｗｅｂサーバ（情報処理装置）
１０ アクセス制御システム
１０１ 認証処理部
１１１ カテゴリ‐クラス情報（属性情報）
２０１ ブラウザ
２０２ アプレット
２０３ 認証キー取得部
２１１ 入力部
２１２ 表示部
２１３ ＵＳＢ接続部
２２０ ＵＳＢデバイス
２２１ ＩＣカード
２２２ 認証キー
３０１ Ｗｅｂアプリケーション
３１１ Ｗｅｂページ（アクセス対象情報）
３１２ アクセス権決定情報
【技術分野】
【０００１】
本発明は、アクセス制御方法、プログラムおよびアクセス制御システムの技術に関する。
【背景技術】
【０００２】
従来、アクセスする情報（アクセス対象情報）毎にパスワードを設定することによって、アクセス対象情報へのアクセス制御を行っている。
また、特許文献１には、Ｗｅｂサーバへの認証の代理を行う代理サーバ、代理サーバのためのプログラムおよび代理アクセス方法が記載されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００８−２２５５７３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、アクセス対象情報毎にパスワードを覚えることは煩わしく、またアクセス対象情報が大量になると、大量のパスワードを覚えなくてはならないという問題がある。
また、特許文献１に記載の技術では、複数のＷｅｂサーバへのアクセス制御を行っているが、１つのＷｅｂサーバ内におけるファイルへのアクセス制御は行っていない。
さらに具体的にいえば、既存のＷｅｂアプリケーションでアクセス制御を実現する場合は、.htaccessによるディレクトリ単位でアクセスを制御する方法と、アクセス制御リスト（ＡＣＬ：Access Control List）によるファイルやフォルダのパーミッションでアクセスを制御する方法があるが、その場合だと２次元的なアクセス制御しか実現できず，多次元的なアクセス制御をすることができない。
【０００５】
このような背景に鑑みて本発明がなされたのであり、本発明は、１つのサーバ内の複数の情報に対し、一手順で多次元的なアクセス制御を行うことを目的とする。
【課題を解決するための手段】
【０００６】
前記課題を解決するため、本発明は、情報へのアクセスを制御するアクセス制御システムによるアクセス制御方法であって、前記アクセス制御システムは、認証装置と、複数のアクセス対象情報を記憶部に格納している１台の情報処理装置と、クライアント装置を有し、前記認証装置は、ユーザに関する識別情報である認証キーに対応する前記ユーザの属性に関する情報である属性情報を記憶部に格納しており、前記属性情報は、前記ユーザが有する属性の属性名と、前記属性名に対応する属性値と、を有しており、前記情報処理装置の前記アクセス対象情報は、前記属性名と、前記属性名に対応する前記属性値に応じてアクセスの可・不可を決定するアクセス権決定情報と、を有しており、前記クライアント装置は、前記認証キーを記憶部に有しており、前記情報処理装置が、前記クライアント装置から前記認証キーを取得すると、前記認証キーを前記認証装置へ送信し、前記認証装置が、前記認証キーを基に、認証処理を行い、前記認証キーを記憶部に一時記憶し、前記認証処理が成功すると、前記情報処理装置が、前記属性名を前記認証装置に送信し、前記認証装置が、前記一時記憶している認証キーに該当するユーザの前記属性名に対応する前記属性値を前記認証装置の記憶部から取得し、前記属性値を前記情報処理装置へ送信し、前記情報処理装置が、前記受信した前記属性値と、前記アクセス対象情報に含まれるアクセス権決定情報と、を基に、前記クライアント装置による前記アクセス対象情報へのアクセスの可・不可を決定することで、前記アクセス対象情報へのアクセスを制御することを特徴とする。
その他の解決手段については、実施形態中に記載する。
【発明の効果】
【０００７】
本発明によれば、１つのサーバ内の複数の情報に対し、一手順で多次元的なアクセス制御が可能となる。
【図面の簡単な説明】
【０００８】
【図１】本実施形態に係るアクセス制御システムの構成例を示す図である。
【図２】本実施形態に係る認証装置の構成例を示す図である。
【図３】本実施形態に係るクライアント端末の構成例を示す図である。
【図４】本実施形態に係るＷｅｂサーバの構成例を示す図である。
【図５】カテゴリ‐クラス情報の例を示す図である。
【図６】カテゴリ‐クラス情報の別の例を示す図である。
【図７】本実施形態に係るアクセス制御処理の流れを示すタイミングチャートである。
【図８】本実施形態に係るアクセス制御の例を示す図である。
【図９】本実施形態に係るクライアント端末における画面遷移の例を示す図である。
【発明を実施するための形態】
【０００９】
以下、本発明を実施するための形態（「実施形態」という）について、適宜図面を参照しながら詳細に説明する。ここでは、一例として、本発明におけるアクセス対象情報として、Ｗｅｂページを適用した場合について説明するが、これに限らず、Ｗｅｂサーバを一般的なファイルサーバなどとし、アクセス対象情報としての文書ファイルや、画像ファイルなどの閲覧・更新・コピーなどを制御するシステムに適用してもよい。
【００１０】
（システム構成）
図１は、本実施形態に係るアクセス制御システムの構成例を示す図である。
アクセス制御システム１０は、認証装置１と、１台のＷｅｂサーバ３（情報処理装置）と、複数のクライアント端末２（クライアント装置）とを有している。クライアント端末２は、例えば、外部装置から認証キー２２２（図３）を取得して、この認証キー２２２をＷｅｂサーバ３へ送信し、また、Ｗｅｂサーバ３から送信されたＷｅｂページを表示部２１２（図３）に表示する機能を有する。Ｗｅｂサーバ３は、ＷＡＮ（Wide Area Network）などのネットワーク４を介してクライアント端末２と接続しており、クライアント端末２から認証キー２２２を受信すると、認証装置１へ認証を要求し、認証装置１から送信されたカテゴリ情報・クラス情報を基に、Ｗｅｂページの閲覧を制御する機能を有する。認証装置１はＷｅｂサーバ３から認証を要求されると、認証処理を行い、認証キー２２２に該当するユーザ５のカテゴリ情報、クラス情報をＷｅｂサーバ３へ送信する機能を有する。
【００１１】
（認証装置構成）
図２は、本実施形態に係る認証装置の構成例を示す図である。
認証装置１は、情報を処理する処理部１００と、情報を記憶する記憶部１１０と、情報を送受信する送受信部１２０とを有する。
記憶部１１０には、認証キー２２２（図３）に対応するユーザ５（図１）の所属関係に関する情報であるカテゴリ‐クラス情報１１１（属性情報）が格納されている。カテゴリ‐クラス情報１１１の説明は、図５および図６を参照して後記する。
所属関係には、ユーザが属する組織や、プロジェクトや、グループなどが考えられる。あるいは、所属関係として、性別、星座、血液型、干支を適用してもよい。本実施形態では、所属関係としてユーザが属する会社内の組織を適用した例を記載する。
処理部１００は、認証処理部１０１および送受信処理部１０２を有する。認証処理部１０１は、Ｗｅｂサーバ３から送信された認証キー２２２が、カテゴリ‐クラス情報１１１に登録されている認証キー２２２であるか否かを判定し、カテゴリ‐クラス情報１１１に含まれるカテゴリ情報・クラス情報を記憶部１１０から取得して、Ｗｅｂサーバ３（図１）へ送信する処理を行う。送受信処理部１０２は、送受信部１２０を介して、情報の送受信に関する処理を行う機能を有する。
【００１２】
処理部１００、認証処理部１０１および送受信処理部１０２は、図示しないＲＯＭ（Read Only Memory）や、ＨＤ（Hard Disk）に格納されたプログラムが、ＲＡＭ（Random Access Memory）に展開され、ＣＰＵ（Central Processing Unit）によって実行されることによって具現化する。
【００１３】
（クライアント端末構成）
図３は、本実施形態に係るクライアント端末の構成例を示す図である。
クライアント端末２は、キーボードや、マウスなどである入力部２１１と、ディスプレイなどの表示部２１２と、ＵＳＢ（Universal Serial Bus）デバイス２２０を接続するＵＳＢ接続部２１３と、情報の送受信を行う送受信部２１４と、情報を処理する処理部２００とを有する。
ＵＳＢ接続部２１３には、ＩＣ（Integrated Circuit）カード２２１が挿入されたＵＳＢデバイス２２０が接続される。ＩＣカード２２１には、認証キー２２２が格納されており、認証装置１はＵＳＢデバイス２２０を介して、ＩＣカード２２１の認証キー２２２を取得する。なお、認証キー２２２は、ＩＣカード２２１を特定する識別情報であるが、ＩＣカード２２１を所有するユーザ５に関する識別情報でもある。
【００１４】
処理部２００は、ブラウザ２０１、アプレット２０２、認証キー取得部２０３および送受信処理部２０４を有している。ブラウザ２０１は、Ｗｅｂサーバ３（図１）から取得したＷｅｂページ３１１（図４）の情報を表示部２１２に表示したり、入力部２１１を介して入力された情報をＷｅｂサーバ３へ送信する機能を有している。アプレット２０２は、本実施形態ではＷｅｂサーバ３から認証キー２２２の要求を受信すると、認証キー取得部２０３を介してＵＳＢデバイス２２０に挿入されたＩＣカード２２１中の認証キー２２２を取得する機能を有する。認証キー取得部２０３は、アプレット２０２からの要求を受けてＵＳＢデバイス２２０に挿入されているＩＣカード２２１の認証キー２２２を取得し、アプレット２０２へ渡す機能を有する。送受信処理部２０４は、送受信部２１４を介して、情報の送受信に関する処理を行う機能を有する。
【００１５】
なお、本実施形態では、認証キー２２２はＵＳＢデバイス２２０に挿入されるＩＣカード２２１に格納されている構成としたが、これに限らず、ＲＦＩＤ（Radio Frequency Identification）などでもよい。読み取り専用のＩＣカード２２１に認証キー２２２を格納することで、耐タンパ性を有することができる。
【００１６】
処理部２００および各部２０１〜２０４は、図示しないＲＯＭや、ＨＤに格納されたプログラムが、ＲＡＭに展開され、ＣＰＵによって実行されることによって具現化する。
【００１７】
（Ｗｅｂサーバ構成）
図４は、本実施形態に係るＷｅｂサーバの構成例を示す図である。
Ｗｅｂ装置は、情報を処理する処理部３００と、情報を記憶する記憶部３１０と、情報を送受信する送受信部３２１とを有する。
記憶部３１０には、閲覧可能なカテゴリ情報や、クラス情報を含むアクセス権決定情報３１２を有しているＷｅｂページ３１１が格納されている。なお、アクセス権決定情報３１２には、このＷｅｂページ３１１を閲覧可能（アクセス可能）な有効期間に関する情報が含まれていてもよい。
処理部３００は、Ｗｅｂアプリケーション３０１および送受信処理部３０２を有する。Ｗｅｂアプリケーション３０１は、クライアント端末２（図１）からＷｅｂページ３１１の閲覧要求を受信すると、クライアント端末２に対し認証キー２２２（図３）を要求することによって、クライアント端末２から認証キー２２２を取得する。そして、Ｗｅｂアプリケーション３０１は、その認証キー２２２を基に、認証装置１（図１）から認証結果や、カテゴリ情報や、クラス情報を取得し、認証キー２２２に対応するユーザ５が要求しているＷｅｂページ３１１の閲覧が可能か否かを判定する。この判定の結果、閲覧可能であれば、Ｗｅｂアプリケーション３０１は、クライアント端末２に要求されたＷｅｂページ３１１を送信する。
送受信処理部３０２は、送受信部３２１を介して、情報の送受信に関する処理を行う機能を有する。
なお、Ｗｅｂサーバ３に認証装置１の機能を持たせてもよい。
【００１８】
処理部３００、Ｗｅｂアプリケーション３０１および送受信処理部３０２は、図示しないＲＯＭや、ＨＤに格納されたプログラムが、ＲＡＭに展開され、ＣＰＵによって実行されることによって具現化する。
【００１９】
図５は、カテゴリ‐クラス情報の例を示す図である。
図５は、カテゴリ‐クラス情報１１１がデータベース形式で記述されている例を示している。
図５に示す例では、「ｋｅｙ」‐「ｃａｔｅｇｏｒｙ」‐「ｃｌａｓｓ」‐「ｓｔａｒｔ ｔｉｍｅ」‐「ｅｎｄ ｔｉｍｅ」の順にカテゴリ‐クラス情報１１１が記述されている。
【００２０】
図５において、「ｋｅｙ」には認証キー２２２（図３）が記述される。「ｃａｔｅｇｏｒｙ」には認証キー２２２に該当するユーザ５（図１）が属する（ユーザ５が有する）カテゴリ情報（属性名）が記述される。「ｃｌａｓｓ」には認証キー２２２に該当するユーザ５が属する（ユーザ５が有する）クラス情報（属性値）が記述される。カテゴリ情報としては、例えば「ｓｈｏｋｕｉ（職位）」、「ｂｕｓｈｏ（部署）」などが記述される。また、カテゴリ「ｓｈｏｋｕｉ（職位）」のクラス情報としては、例えば、「ｙａｋｕｉｎ（役員）」、「ｂｕｃｈｏ（部長）」や、「ｋａｃｈｏ（課長）」や、「ｇｉｓｈｉ（技師）」などが記述される。また、「ｂｕｓｈｏ（部署）」のクラス情報としては、「ｓｏｕｍｕ（総務）」や、「ｚａｉｍｕ（財務）」などが記述される。
【００２１】
また、「ｓｔａｒｔ ｔｉｍｅ」は、例えば、認証キー２２２に対応するユーザ５が「ｃａｔｅｇｏｒｙ」‐「ｃｌａｓｓ」に該当する組織に着任した日付である。同様に、「ｅｎｄ ｔｉｍｅ」は、例えば、認証キー２２２に対応するユーザ５が「ｃａｔｅｇｏｒｙ」‐「ｃｌａｓｓ」に該当する組織から離任した日付である。
このような「ｓｔａｒｔ ｔｉｍｅ」および「ｅｎｄ ｔｉｍｅ」を設けることによって、認証キー２２２に対応するユーザ５が「ｃａｔｅｇｏｒｙ」‐「ｃｌａｓｓ」に該当する組織に現在いなくても、「ｓｔａｒｔ ｔｉｍｅ」‐「ｅｎｄ ｔｉｍｅ」に該当する期間（有効期間）に作成された情報を閲覧することなどができる。
なお、「ｓｔａｒｔ ｔｉｍｅ」および「ｅｎｄ ｔｉｍｅ」は省略可能である。
また、図５において「ｅｎｄ ｔｉｍｅ」の「＊」は、そのユーザ５が該当する組織に依然として在任していることを示している。なお、各項目は図５と同様のため説明を省略する。また、図６の「ｃｌａｓｓ」における「ｎｏｎｅ」は役についていないことを示している。
なお、図５に示すように、１つの認証キー２２２に対し「ｋｅｙ」‐「ｃａｔｅｇｏｒｙ」‐「ｃｌａｓｓ」‐「ｓｔａｒｔ ｔｉｍｅ」‐「ｅｎｄ ｔｉｍｅ」を複数記述してもよい。
これにより、１つの認証キー２２２に対し、多次元的なアクセス制御の設定ができる。
【００２２】
また、図５に示すカテゴリ‐クラス情報１１１には、同じ「ｓｔａｒｔ ｔｉｍｅ」‐「ｅｎｄ ｔｉｍｅ」で規定される期間において、同じカテゴリ２つ以上存在してはならないという静的条件が付随する。
【００２３】
図６は、カテゴリ‐クラス情報をＢＮＦ（Backus-Naur Form）で表現した例を示す図である。
図６のＢＮＦを使用した場合、「ａｕｔｈ ｒｅｃｏｒｄ」は「認証キー（ｋｅｙ）」と「ｃｌａｓｓｉｆｙ」の組で定義されることを示している。さらに、「ｃｌａｓｓｉｆｙ」は、＜ｃａｔｅｇｏｒｙ＞＜ｃｌａｓｓ＞＜ｓｔａｒｔ ｔｉｍｅ＞＜ｅｎｄ ｔｉｍｅ＞の組で定義されることを示している。
【００２４】
（タイミングチャート）
図７は、本実施形態に係るアクセス制御処理の流れを示すタイミングチャートである。
まず、クライアント端末２においてブラウザ２０１が起動される（Ｓ１０１）。
そして、ブラウザ２０１は、Ｗｅｂサーバ３のＷｅｂアプリケーション３０１に対しＷｅｂページ３１１（図４）を要求する（Ｓ１０２）。
Ｗｅｂページ３１１の要求を受信したＷｅｂアプリケーション３０１は、クライアント端末２のアプレット２０２に対し認証キー２２２を要求する（Ｓ１０３）。
認証キー２２２の要求を受信したアプレット２０２は、クライアント端末２の認証キー取得部２０３に対し認証キー２２２を要求する（Ｓ１０４）。
認証キー２２２を要求された認証キー取得部２０３は、ＩＣカード２２１から認証キー２２２を取得し（Ｓ１０５）、取得した認証キー２２２をアプレット２０２へ渡す。なお、認証キー取得部２０３がＩＣカード２２１にアクセスするときに、ユーザ５に対しパスワードを要求し、入力部２１１を介して入力されたパスワードが正しければ、認証キー取得部２０３がＩＣカード２２１から認証キー２２２を取得する。
【００２５】
認証キー２２２をわたされたアプレット２０２は、Ｗｅｂアプリケーション３０１へ認証キー２２２を送信する（Ｓ１０６）。
認証キー２２２を受信したＷｅｂアプリケーション３０１は、認証装置１の認証処理部１０１に認証キー２２２を送信し、認証を要求する（Ｓ１０７）。
認証を要求された認証処理部１０１は、まず渡された認証キー２２２が記憶部１１０のカテゴリ‐クラス情報１１１に存在するか否かを判定する認証処理を行い（Ｓ１０８）、認証結果をＷｅｂアプリケーション３０１へ送信する。このとき、認証処理の結果は、以下の４通りが存在する。
（１）認証成功
（２）アクセス禁止：認証キー２２２がカテゴリ‐クラス情報１１１に存在するものの、カテゴリ情報とクラス情報が登録されていない。つまり、認証装置１が管理しているすべての情報に対するアクセスが禁止されている。
（３）認証キー２２２がカテゴリ‐クラス情報１１１に存在しない。
（４）記憶部１１０が故障している。
認証結果が、（２）〜（４）である場合、Ｗｅｂアプリケーション３０１は、以下のステップＳ１０９，Ｓ１１１，Ｓ１１３の処理を行わずに、それぞれのケースに対応するメッセージを有するＷｅｂページ３１１をブラウザ２０１に送信する（図示せず）。
【００２６】
ステップＳ１０８の認証処理の結果、認証に成功した場合、Ｗｅｂアプリケーション３０１は、認証処理部１０１へ再び認証キー２２２を送信することによって、認証キー２２２に対応するカテゴリ情報を要求する（Ｓ１０９）。カテゴリ情報の要求を受信した認証処理部１０１は、認証キー２２２をキーとしてカテゴリ‐クラス情報１１１からカテゴリ情報を取得し（Ｓ１１０）、取得したカテゴリ情報をＷｅｂアプリケーション３０１へ送信する。カテゴリ情報は、例えば、対応するすべてのカテゴリ名が半角空白を連結文字列とした文字列である。なお、ステップＳ１１０の段階で、認証処理部１０１は、送信された認証キー２２２を一時的に記憶しておく。
例えば、図５を参照すると、認証キー２２２が「０００２２２」であれば、カテゴリ情報には「ｂｕｓｈｏ（部署）」および「ｓｙｏｋｕｉ（職位）」が含まれる。
【００２７】
次に、Ｗｅｂアプリケーション３０１は、認証処理部１０１へステップＳ１１０で取得したカテゴリ情報を送信することによって、カテゴリ情報に対応するクラス情報を要求する（Ｓ１１１）。
クラス情報の要求を受信した認証処理部１０１は、送信されたカテゴリ情報と、ステップＳ１１０の段階で一時的に記憶された認証キー２２２の組み合わせに対するクラス情報をカテゴリ‐クラス情報１１１から取得し（Ｓ１１２）、取得したクラス情報をＷｅｂアプリケーション３０１へ送信する。
例えば、図５を参照すると、認証キー２２２が「０００２２２」であれば、ステップＳ１１１で、「ｂｕｓｈｏ（部署）」および「ｓｙｏｋｕｉ（職位）」が認証装置１へ送信され、ステップＳ１１２で取得されるクラス情報には、「ｓｏｕｍｕ（総務）」、「ｎｏｎｅ（職位なし）」、「ｇｉｓｈｉ（技師）」、「ｋａｃｈｏ（課長）」が含まれる。
【００２８】
また、Ｗｅｂページ３１１のアクセス権決定情報３１２にアクセス可能な有効期間に関する情報が格納されている場合、Ｗｅｂアプリケーション３０１は、このアクセス可能な有効期間に関する情報をＷｅｂページ３１１から取得し、ステップＳ１１１の段階でカテゴリ情報と共に認証処理部１０１へ送信してもよい。この場合、認証装置１の認証処理部１０１は、一時記憶している認証キー２２２と、カテゴリ情報の組み合わせに対応するクラス情報の内、受信した有効期間が「ｓｔａｒｔ ｔｉｍｅ」‐「ｅｎｄ ｔｉｍｅ」で示される期間内であるクラス情報をカテゴリ‐クラス情報１１１から抽出し、抽出したクラス情報をＷｅｂアプリケーション３０１へ送信してもよい。
【００２９】
Ｗｅｂアプリケーション３０１は、ブラウザ２０１が閲覧を要求しているＷｅｂページ３１１が、認証結果に含まれるカテゴリ情報と、クラス情報に対して閲覧可能か否かを判定する閲覧判定処理を行う（Ｓ１１３）。この処理は、取得したカテゴリ情報と、クラス情報と、Ｗｅｂページ３１１に付随している閲覧可能なカテゴリ情報・クラス情報とを比較することによって行われる。
ステップＳ１１３の結果、閲覧可能である場合は、Ｗｅｂページ３１１をブラウザ２０１に送信し（Ｓ１１４）、ブラウザ２０１が受信したＷｅｂページ３１１を表示部２１２（図３）に表示させる（Ｓ１１５）。
なお、閲覧判定処理の結果、閲覧不可である場合、ステップＳ１１４において、Ｗｅｂアプリケーション３０１は、それぞれのケースに対応したメッセージを含むＷｅｂページ３１１をブラウザ２０１へ送信する（図示せず）。
【００３０】
本実施形態では、認証処理、カテゴリ情報・クラス情報の取得を３段階に分けて行っているが、これに限らず、認証キーを基に、認証処理およびカテゴリ情報・クラス情報の取得を一度に行ってもよい。
また、ステップＳ１０８の認証処理で、認証成功した場合、Ｗｅｂアプリケーション３０１が、クライアント端末２がアクセス（閲覧）しようとしているＷｅｂページ３１１のアクセス権決定情報３１２に格納されているカテゴリ情報を認証装置１に送信してもよい。
このようにすることで、ステップＳ１０９〜Ｓ１１１のカテゴリ情報要求〜クラス情報要求の処理を省略できる。この場合、認証装置１の認証処理部１０１は、一時記憶している認証キー２２２と、送信されたカテゴリ情報をキーとして、カテゴリ‐クラス情報１１１を検索し、該当するクラス情報を取得すると、取得したクラス情報をＷｅｂサーバ３へ送信する。
【００３１】
（アクセス制御例）
図８は、本実施形態に係るアクセス制御の例を示す図である。
例えば、ユーザ「Ａ」〜「Ｃ」はカテゴリ「職位」でクラス「課長」に属しており、ユーザ「Ｃ」〜「Ｅ」はカテゴリ「部署」でクラス「総務」に属しているものとする。つまり、ユーザ「Ｃ」は総務課の課長である。ユーザ「Ａ」、「Ｂ」にも「部署」の情報が付随しており、ユーザ「Ｄ」、「Ｅ」にも「職位」の情報が付随しているが、煩雑になるのを避けるため、ここでは省略する。
そして、「ページ（Ｗｅｂページ３１１（図４））ａ」は、「職位」「課長」の人が閲覧可能であり、「課長」以外のユーザは閲覧不可である。「ページｂ」は、「職位」「課長」のユーザも、「部署」「総務」のユーザも閲覧可能である。「ページｃ」は、「部署」「総務」の人が閲覧可能であり、「総務」以外のユーザは閲覧不可である。
つまり、「ページａ」は「課長」である人が閲覧することができ、「ページｃ」は「総務」の人が閲覧することができる。
【００３２】
従って、ユーザ「Ａ」〜「Ｃ」は、「ページａ」を閲覧でき、ユーザ「Ｄ」、「Ｅ」は「ページａ」を閲覧できない（図８のページとユーザを結ぶ線において、実線は閲覧可能を示し、破線は閲覧不可を示している）。また、「ページｂ」を、ユーザ「Ａ」〜「Ｅ」のすべてが閲覧できる。そして、ユーザ「Ｃ」〜「Ｅ」は、「ページｃ」を閲覧でき、ユーザ「Ａ」、「Ｂ」は「ページｃ」を閲覧できない。
このように、本実施形態によれば同じＷｅｂサーバ３内のページの閲覧可・不可を容易に制御できる。
【００３３】
（画面遷移）
次に、適宜図３を参照しつつ、図９に沿ってクライアント端末２における画面遷移を説明する。
図９は、本実施形態に係るクライアント端末における画面遷移の例を示す図である。
まず、クライアント端末２のマウスなどで画面９０１に表示されているサンプルページのリンクをクリックするなどして、サンプルページの表示を要求する。
すると、パスワード（ＰＩＮ：Personal Identification Number）の入力画面９０２がクライアント端末２の表示部２１２に表示される。
ユーザ５が入力部２１１を介して、ＰＩＮ入力フォーム９１１にパスワードを入力し、ＯＫボタン９１２を選択入力すると、図７のステップＳ１０４〜Ｓ１１４の処理が行われる。
認証が成功し、Ｗｅｂサーバ３が取得したカテゴリ情報・クラス情報と、Ｗｅｂページ３１１にアクセス権決定情報３１２（図４）における閲覧可能なカテゴリ情報・クラス情報とを比較した結果、ユーザ５が閲覧を要求しているＷｅｂページ３１１へのアクセスが可能であれば、画面９０３のようにユーザ５が閲覧を要求しているＷｅｂページ３１１がクライアント端末２の表示部２１２に表示される。
認証キー２２２がカテゴリ‐クラス情報１１１に存在せず、図７のステップＳ１０８における認証処理が失敗した場合、画面９０４のように認証失敗のメッセージがクライアント端末２の表示部２１２に表示される。
認証処理の結果、認証キー２２２がカテゴリ‐クラス情報１１１に存在しているものの、カテゴリ情報と、クラス情報が登録されていなかったり、カテゴリ情報と、クラス情報が登録されているものの、認証キー２２２に係るカテゴリとクラスではユーザ５がアクセスを要求しているＷｅｂページ３１１へアクセスできなかったりした場合、画面９０５のようにアクセスができない旨のメッセージがクライアント端末２の表示部２１２に表示される。
【００３４】
本実施形態では、Ｗｅｂページ３１１の閲覧を制御するアクセス制御システム１０を例としたが、これに限らず、前記したようにＷｅｂサーバ３を一般的なファイルサーバなどとし、文書ファイルや、画像ファイルなどの閲覧・更新・コピーなどを制御するシステムに適用してもよい。この場合、本実施形態におけるＷｅｂページ３１１が、文書ファイルや、画像ファイルとなる。この文書ファイルや、画像ファイルには、閲覧・更新・コピーの各処理に対し、可能なカテゴリ情報・クラス情報が付随する。
【００３５】
本実施形態によれば、１つのサーバ内の複数の情報に対し、多次元的なアクセス制御が可能となる。
【符号の説明】
【００３６】
１ 認証装置
２ クライアント端末（クライアント装置）
３ Ｗｅｂサーバ（情報処理装置）
１０ アクセス制御システム
１０１ 認証処理部
１１１ カテゴリ‐クラス情報（属性情報）
２０１ ブラウザ
２０２ アプレット
２０３ 認証キー取得部
２１１ 入力部
２１２ 表示部
２１３ ＵＳＢ接続部
２２０ ＵＳＢデバイス
２２１ ＩＣカード
２２２ 認証キー
３０１ Ｗｅｂアプリケーション
３１１ Ｗｅｂページ（アクセス対象情報）
３１２ アクセス権決定情報
【特許請求の範囲】
【請求項１】
情報へのアクセスを制御するアクセス制御システムによるアクセス制御方法であって、
前記アクセス制御システムは、認証装置と、複数のアクセス対象情報を記憶部に格納している１台の情報処理装置と、クライアント装置を有し、
前記認証装置は、
ユーザに関する識別情報である認証キーに対応する前記ユーザの属性に関する情報である属性情報を記憶部に格納しており、
前記属性情報は、前記ユーザが有する属性の属性名と、前記属性名に対応する属性値と、を有しており、
前記情報処理装置の前記アクセス対象情報は、
前記属性名と、
前記属性名に対応する前記属性値に応じてアクセスの可・不可を決定するアクセス権決定情報と、を有しており、
前記クライアント装置は、
前記認証キーを記憶部に有しており、
前記情報処理装置が、
前記クライアント装置から前記認証キーを取得すると、
前記認証キーを前記認証装置へ送信し、
前記認証装置が、
前記認証キーを基に、認証処理を行い、前記認証キーを記憶部に一時記憶し、
前記認証処理が成功すると、
前記情報処理装置が、
前記属性名を前記認証装置に送信し、
前記認証装置が、
前記一時記憶している認証キーに該当するユーザの前記属性名に対応する前記属性値を前記認証装置の記憶部から取得し、
前記属性値を前記情報処理装置へ送信し、
前記情報処理装置が、
前記受信した前記属性値と、前記アクセス対象情報に含まれるアクセス権決定情報と、を基に、前記クライアント装置による前記アクセス対象情報へのアクセスの可・不可を決定することで、前記アクセス対象情報へのアクセスを制御する
ことを特徴とするアクセス制御方法。
【請求項２】
前記属性情報には、対応するユーザの属性情報の有効期間に関する情報が、さらに格納されており、
前記アクセス対象情報には、アクセス可能な有効期間に関する情報が、さらに格納されており、
前記情報処理装置は、
前記属性名と共に、前記アクセス対象情報における前記有効期間に関する情報を前記認証装置へ送信し、
前記認証装置は、
前記受信した前記属性名に対応する前記有効期間に関する情報を基に、有効な前記属性値を、前記情報処理装置に送信し、
前記情報処理装置は、
前記受信した前記属性値と、前記アクセス対象情報に含まれるアクセス権決定情報と、を基に、前記クライアント装置による前記アクセス対象情報へのアクセスの可・不可を決定して、前記アクセス対象情報へのアクセスを制御する
ことを特徴とする請求項１に記載のアクセス制御方法。
【請求項３】
請求項１または請求項２に記載のアクセス制御方法をコンピュータに実行させることを特徴とするプログラム。
【請求項４】
情報へのアクセスを制御するアクセス制御システムであって、
認証装置と、複数のアクセス対象情報を記憶部に格納している１台の情報処理装置と、クライアント装置を有し、
前記認証装置は、
ユーザに関する識別情報である認証キーに対応する前記ユーザの属性に関する情報である属性情報を記憶部に格納しており、
前記属性情報は、前記ユーザが有する属性の属性名と、前記属性名に対応する属性値と、を有しており、
前記情報処理装置の前記アクセス対象情報は、
前記属性名と、
前記属性名に対応する前記属性値に応じてアクセスの可・不可を決定するアクセス権決定情報と、を有しており、
前記クライアント装置は、
前記認証キーを記憶部に有しており、
前記情報処理装置が、
前記クライアント装置から前記認証キーを取得すると、
前記認証キーを前記認証装置へ送信し、
前記認証装置が、
前記認証キーを基に、認証処理を行い、前記認証キーを記憶部に一時記憶し、
前記認証処理が成功すると、
前記情報処理装置が、
前記属性名を前記認証装置に送信し、
前記認証装置が、
前記一時記憶している認証キーに該当するユーザの前記属性名に対応する前記属性値を前記認証装置の記憶部から取得し、
前記属性値を前記情報処理装置へ送信し、
前記情報処理装置が、
前記受信した前記属性値と、前記アクセス対象情報に含まれるアクセス権決定情報と、を基に、前記クライアント装置による前記アクセス対象情報へのアクセスの可・不可を決定することで、前記アクセス対象情報へのアクセスを制御する
ことを特徴とするアクセス制御システム。
【請求項１】
情報へのアクセスを制御するアクセス制御システムによるアクセス制御方法であって、
前記アクセス制御システムは、認証装置と、複数のアクセス対象情報を記憶部に格納している１台の情報処理装置と、クライアント装置を有し、
前記認証装置は、
ユーザに関する識別情報である認証キーに対応する前記ユーザの属性に関する情報である属性情報を記憶部に格納しており、
前記属性情報は、前記ユーザが有する属性の属性名と、前記属性名に対応する属性値と、を有しており、
前記情報処理装置の前記アクセス対象情報は、
前記属性名と、
前記属性名に対応する前記属性値に応じてアクセスの可・不可を決定するアクセス権決定情報と、を有しており、
前記クライアント装置は、
前記認証キーを記憶部に有しており、
前記情報処理装置が、
前記クライアント装置から前記認証キーを取得すると、
前記認証キーを前記認証装置へ送信し、
前記認証装置が、
前記認証キーを基に、認証処理を行い、前記認証キーを記憶部に一時記憶し、
前記認証処理が成功すると、
前記情報処理装置が、
前記属性名を前記認証装置に送信し、
前記認証装置が、
前記一時記憶している認証キーに該当するユーザの前記属性名に対応する前記属性値を前記認証装置の記憶部から取得し、
前記属性値を前記情報処理装置へ送信し、
前記情報処理装置が、
前記受信した前記属性値と、前記アクセス対象情報に含まれるアクセス権決定情報と、を基に、前記クライアント装置による前記アクセス対象情報へのアクセスの可・不可を決定することで、前記アクセス対象情報へのアクセスを制御する
ことを特徴とするアクセス制御方法。
【請求項２】
前記属性情報には、対応するユーザの属性情報の有効期間に関する情報が、さらに格納されており、
前記アクセス対象情報には、アクセス可能な有効期間に関する情報が、さらに格納されており、
前記情報処理装置は、
前記属性名と共に、前記アクセス対象情報における前記有効期間に関する情報を前記認証装置へ送信し、
前記認証装置は、
前記受信した前記属性名に対応する前記有効期間に関する情報を基に、有効な前記属性値を、前記情報処理装置に送信し、
前記情報処理装置は、
前記受信した前記属性値と、前記アクセス対象情報に含まれるアクセス権決定情報と、を基に、前記クライアント装置による前記アクセス対象情報へのアクセスの可・不可を決定して、前記アクセス対象情報へのアクセスを制御する
ことを特徴とする請求項１に記載のアクセス制御方法。
【請求項３】
請求項１または請求項２に記載のアクセス制御方法をコンピュータに実行させることを特徴とするプログラム。
【請求項４】
情報へのアクセスを制御するアクセス制御システムであって、
認証装置と、複数のアクセス対象情報を記憶部に格納している１台の情報処理装置と、クライアント装置を有し、
前記認証装置は、
ユーザに関する識別情報である認証キーに対応する前記ユーザの属性に関する情報である属性情報を記憶部に格納しており、
前記属性情報は、前記ユーザが有する属性の属性名と、前記属性名に対応する属性値と、を有しており、
前記情報処理装置の前記アクセス対象情報は、
前記属性名と、
前記属性名に対応する前記属性値に応じてアクセスの可・不可を決定するアクセス権決定情報と、を有しており、
前記クライアント装置は、
前記認証キーを記憶部に有しており、
前記情報処理装置が、
前記クライアント装置から前記認証キーを取得すると、
前記認証キーを前記認証装置へ送信し、
前記認証装置が、
前記認証キーを基に、認証処理を行い、前記認証キーを記憶部に一時記憶し、
前記認証処理が成功すると、
前記情報処理装置が、
前記属性名を前記認証装置に送信し、
前記認証装置が、
前記一時記憶している認証キーに該当するユーザの前記属性名に対応する前記属性値を前記認証装置の記憶部から取得し、
前記属性値を前記情報処理装置へ送信し、
前記情報処理装置が、
前記受信した前記属性値と、前記アクセス対象情報に含まれるアクセス権決定情報と、を基に、前記クライアント装置による前記アクセス対象情報へのアクセスの可・不可を決定することで、前記アクセス対象情報へのアクセスを制御する
ことを特徴とするアクセス制御システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【公開番号】特開２０１１−１３７２３（Ｐ２０１１−１３７２３Ａ）
【公開日】平成２３年１月２０日（２０１１．１．２０）
【国際特許分類】
【出願番号】特願２００９−１５４７９９（Ｐ２００９−１５４７９９）
【出願日】平成２１年６月３０日（２００９．６．３０）
【出願人】（０００２３３５３８）株式会社 日立東日本ソリューションズ (53)
【Ｆターム（参考）】
【公開日】平成２３年１月２０日（２０１１．１．２０）
【国際特許分類】
【出願日】平成２１年６月３０日（２００９．６．３０）
【出願人】（０００２３３５３８）株式会社 日立東日本ソリューションズ (53)
【Ｆターム（参考）】
[ Back to top ]