アクセス制限情報生成装置およびアクセス制限情報生成方法並びにプログラム
【課題】シンクライアントシステムのネットワーク構成機器に設定するアクセス制限情報を容易に生成できるようにする。
【解決手段】管理者は、アクセス制限情報の生成時、シンクライアントの実装方式および通常端末装置の接続可否を示す特徴情報を入力する。シンクライアント特徴入力手段１０１は、入力された特徴情報を受け付け、アクセス制限方法選択手段１０２は、シンクライアントシステムの特徴に応じて予め定められているアクセス制限方法の中から、シンクライアント特徴入力手段１０１が受け付けた特徴情報から認識されるシンクライアントの特徴に適したアクセス制限方法を選択し、アクセス制限情報生成手段１０３は、アクセス制限方法選択手段１０２で選択されたアクセス制限方法に従ってアクセス制限情報を生成する。
【解決手段】管理者は、アクセス制限情報の生成時、シンクライアントの実装方式および通常端末装置の接続可否を示す特徴情報を入力する。シンクライアント特徴入力手段１０１は、入力された特徴情報を受け付け、アクセス制限方法選択手段１０２は、シンクライアントシステムの特徴に応じて予め定められているアクセス制限方法の中から、シンクライアント特徴入力手段１０１が受け付けた特徴情報から認識されるシンクライアントの特徴に適したアクセス制限方法を選択し、アクセス制限情報生成手段１０３は、アクセス制限方法選択手段１０２で選択されたアクセス制限方法に従ってアクセス制限情報を生成する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、シンクライアントシステムおいてアクセス制限対象ネットワークに対する不正アクセスを防止する技術に関し、特に、アクセス制限対象ネットワークに対してシンクライアントシステムの特徴に合ったアクセス制限を行うことができるアクセス制限情報を生成するアクセス制限情報生成技術に関する。
【背景技術】
【０００２】
近年、情報漏洩問題が多発しており、情報の持ち出しを制限する目的で、データを記憶しておくことができないシンクライアント端末装置を利用するシンクライアントシステムの導入のニーズが高まっている。しかしながら、シンクライアントシステムを導入しただけで、情報漏洩対策が万全であると間違った認識をしているケースが多く、シンクライアント端末装置以外の端末装置（通常端末装置）が接続された場合のリスクを考慮していない場合が多い。また、シンクライアントシステムを導入する場合には、全ての端末装置を一気にシンクライアント端末装置に変更するケースは少なく、シンクライアント端末装置と通常端末装置とが併用されるケースが多い。この導入過渡期における不正アクセス対策を考慮していないケースも非常に多い。
【０００３】
シンクライアントシステムを導入しても、不正アクセス対策を施さない限り、通常端末装置がアクセス制限対象となるネットワークをアクセスすることができてしまい、ここから情報が漏洩してしまう危険性がある。このため、シンクライアントシステムにおいても不正アクセス対策を施す必要があり、端末装置とアクセス制限対象ネットワーク（イントラネット等）との間に設置されるネットワーク構成機器（ネットワークスイッチ、ルータ等）に不正アクセスを防止するためのアクセス制限情報を設定することが必要になる。
【０００４】
ところで、シンクライアントシステムには、ネットワークブート型、画面転送型、仮想ＰＣ型などの様々な実装方式が存在し、実装方式により使用するプロトコルが異なっている。また、シンクライアント端末装置以外の通常端末装置の接続を許可するシンクライアントシステムも存在すれば、許可しないシンクライアントシステムも存在する。従って、ネットワーク構成機器にアクセス制限情報を設定する場合には、シンクライアントシステムの実装方式や、通常端末の接続の可否を考慮し、シンクライアントシステムに特徴に合ったアクセス制限情報を設定することが必要になる。このように、アクセス制限情報を設定する際には、実装方式によるプロトコルの違いや、通常端末装置の接続の可否を考慮する必要があるため、多くの知識や経験が必要であった。
【０００５】
一方、ルータ、スイッチといったネットワーク構成機器の設定に関する技術としては、従来から次のような技術が知られている（例えば、特許文献１、２参照）。
【０００６】
特許文献１に記載されている技術は、ネットワークセグメント間の通信可否を制御することが可能なルータの設定情報を生成する技術であり、表示装置にネットワークセグメントの対を表示し、ユーザーが表示された各対に対して入力した通信可否情報に基づいて、ルータに設定する設定情報（ネットワークセグメント間の通信を許可するか否かを示す情報）を生成するようにしている。
【０００７】
特許文献２に記載されている技術は、新たにネットワークに導入したスイッチにフィルタリング条件を設定するための技術であり、既存のスイッチに設定されているフィルタリング条件を新設したスイッチに転送することにより、新設スイッチにフィルタリング条件を設定するようにしている。
【０００８】
【特許文献１】特開２００５−３１１７０４号公報
【特許文献２】特開２００６−３４０１６１号公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
上述した特許文献１に記載されている技術によれば、ネットワークセグメント間の通信可否を制御するルータに設定する設定情報を容易に生成することは可能になる。また、特許文献２に記載されている従来の技術によれば、新設したスイッチに対するフィルタリング条件の設定を容易に行うことが可能になる。しかし、特許文献１、２は、シンクライアントシステムに関するものではないため、シンクライアントシステムのネットワーク構成機器に設定するアクセス制限情報を生成することはできない。即ち、実装方式や通常端末装置の接続可否を考慮した、シンクライアントシステムの特徴に合ったアクセス制限情報を生成することができない。
【００１０】
〔発明の目的〕
そこで、本発明の目的は、シンクライアントシステムの実装方式と通常端末装置の接続可否とを入力するだけで、シンクライアントシステムの特徴に合ったアクセス制限方法でアクセス制限を行うためのアクセス制限情報を生成できるようにすることにある。
【課題を解決するための手段】
【００１１】
本発明にかかる第１のアクセス制限情報生成装置は、
入力装置から入力されたシンクライアントシステムの実装方式および通常端末装置の接続可否を示す特徴情報を受け付けるシンクライアント特徴入力手段と、
シンクライアントシステムの実装方式および通常端末装置の接続可否に応じて予め設定されているアクセス制限方法の中から、前記シンクライアント特徴入力手段が受け付けた特徴情報によって示されるシンクライアントシステムの実装方式および通常端末装置の接続可否に適したアクセス制限方法を選択するアクセス制限方法選択手段と、
該アクセス制限方法選択手段で選択されたアクセス制限方法に従ってアクセス制限対象ネットワークに対するアクセス制限を実施するためのアクセス制限情報を生成するアクセス制限情報生成手段とを備えたことを特徴とする。
【００１２】
本発明にかかる第１のアクセス制限情報生成方法は、
コンピュータが、入力装置から入力されるシンクライアントシステムの実装方式および通常端末装置の接続可否を示す特徴情報を受け付けるシンクライアント特徴入力ステップと、
前記コンピュータが、シンクライアントシステムの実装方式および通常端末装置の接続可否に応じて予め設定されているアクセス制限方法の中から、前記シンクライアント特徴入力ステップで受け付けた特徴情報によって示されるシンクライアントシステムの実装方式および通常端末装置の接続可否に適したアクセス制限方法を選択するアクセス制限方法選択ステップと、
前記コンピュータが、前記アクセス制限方法選択ステップで選択されたアクセス制限方法に従ってアクセス制限対象ネットワークに対するアクセス制限を実施するためのアクセス制限情報を生成するアクセス制限情報生成ステップとを含むことを特徴とする。
【００１３】
本発明にかかる第１のプログラムは、
コンピュータを、
入力装置から入力されたシンクライアントシステムの実装方式および通常端末装置の接続可否を示す特徴情報を受け付けるシンクライアント特徴入力手段、
シンクライアントシステムの実装方式および通常端末装置の接続可否に応じて予め設定されているアクセス制限方法の中から、前記シンクライアント特徴入力手段が受け付けた特徴情報によって示されるシンクライアントシステムの実装方式および通常端末装置の接続可否に適したアクセス制限方法を選択するアクセス制限方法選択手段、
該アクセス制限方法選択手段で選択されたアクセス制限方法に従ってアクセス制限対象ネットワークに対するアクセス制限を実施するためのアクセス制限情報を生成するアクセス制限情報生成手段として機能させる。
【発明の効果】
【００１４】
本発明によれば、シンクライアントシステムの実装方式と通常端末装置の接続可否とを入力するだけで、シンクライアントシステムの特徴に合ったアクセス制限方法でアクセス制限を行うためのアクセス制限情報を生成することが可能になるという効果を得ることができる。
【発明を実施するための最良の形態】
【００１５】
次に、本発明を実施するための最良の形態について図面を参照して詳細に説明する。
【００１６】
〔本発明の第１の実施例〕
図１は本発明にかかるアクセス制限情報生成装置の第１の実施例の構成例を示すブロック図である。本実施例のアクセス制限情報生成装置１００は、管理者によって入力される、シンクライアントシステムの特徴を示す特徴情報に基づいて、シンクライアントシステムの特徴に合ったアクセス制限をネットワーク構成機器に行わせるためのアクセス制限情報を生成するものであり、シンクライアント特徴入力手段１０１と、アクセス制限方法選択手段１０２と、アクセス制限情報生成手段１０３とを備えている。
【００１７】
シンクライアント特徴入力手段１０１は、管理者によって入力される特徴情報を受け付ける。ここで、管理者が入力する特徴情報には、シンクライアントシステムの実装方式を示す実装方式情報および通常端末装置の接続を許可するか否かを示す接続可否情報が含まれる。
【００１８】
アクセス制限方法選択手段１０２は、シンクライアントシステムの実装方式および通常端末装置の接続可否に応じて予め設定されている、アクセス制限対象ネットワークに対するアクセス制限をどのような方法で実施するのかを示すアクセス制限方法の中から、シンクライアント特徴入力手段１０１が受け付けた特徴情報によって認識されるシンクライアントシステムの実装方式および通常端末装置の接続可否に適したアクセス制限方法を選択する機能を有する。
【００１９】
アクセス制限情報生成手段１０３は、アクセス制限方法選択手段１０２で選択されたアクセス制限方法に従ってアクセス制限対象ネットワークに対するアクセス制限を実施するためのアクセス制限情報を生成する機能を有する。
【００２０】
このような機能を有するアクセス制限情報生成装置１００は、コンピュータによって実現可能であり、コンピュータによって実現する場合は、例えば、次のようにする。コンピュータをアクセス制限情報生成装置１００として機能させるためのプログラムを記録したディスク、半導体メモリ、その他の記録媒体を用意し、コンピュータに上記プログラムを読み取らせる。コンピュータは、読み取ったプログラムに従って自身の動作を制御することにより、自コンピュータ上にシンクライアント特徴入力手段１０１、アクセス制限方法選択手段１０２、アクセス制限情報生成手段１０３を実現する。
【００２１】
〔第１の実施例の動作の説明〕
次に、本実施例の動作について詳細に説明する。
【００２２】
管理者は、シンクライアントシステムのネットワーク構成機器に設定するアクセス制限情報を生成する場合、シンクライアントシステムの特徴を示す特徴情報を入力する。即ち、シンクライアントシステムの実装方式（例えば、画面転送型、仮想ＰＣ型、ネットワークブート型など）を示す実装方式情報および通常端末装置の接続を許可するか否かを示す接続可否情報を含んだ特徴情報を入力する。
【００２３】
シンクライアント特徴入力手段１０１は、管理者によって入力された特徴情報を受け付ける。
【００２４】
アクセス制限方法選択手段１０２は、シンクライアント特徴入力手段１０１が受け付けた特徴情報によって示されるシンクライアントシステムの特徴に基づいて、シンクライアントシステムの特徴に応じて予め定められているアクセス制限方法の中から、シンクライアントの特徴に適したアクセス制限方法を選択し、選択したアクセス制限方法をアクセス制限情報生成手段１０３に渡す。即ち、シンクライアントシステムの実装方式や通常端末装置の接続の可否などに応じて予め設定されているアクセス制限方法の中から、アクセス制限対象にするシンクライアントシステムの特徴に適したアクセス制限方法を選択する。
【００２５】
アクセス制限情報生成手段１０３は、アクセス制限方法選択手段１０２から渡されたアクセス制限方法に従ってアクセス制限対象ネットワークに対するアクセス制限を実施するためのアクセス制限情報を生成する。生成したアクセス制限情報は、ルータなどのネットワーク構成機器に設定される。
【００２６】
〔第１の実施例の効果〕
本実施例によれば、シンクライアントシステムの実装方式と通常端末装置の接続の可否とを入力するだけで、シンクライアントシステムの特徴に合ったアクセス制限方法でアクセス制限を行うためのアクセス制限情報を生成することが可能になるという効果を得ることができる。
【００２７】
その理由は、アクセス制限対象ネットワークに対するアクセス制限をどのような方法で実施するのかを示すアクセス制限方法を、シンクライアントシステムの実装方式および通常端末装置の接続可否に応じて予め設定しておき、管理者が入力したシンクライアントシステムの実装方式および通常端末装置の接続可否に適したアクセス制限方法を選択し、選択したアクセス制限方法に従ってアクセス制限対象ネットワークに対するアクセス制限を行うアクセス制限情報を生成するようにしているからである。
【００２８】
〔本発明の第２の実施例〕
次に、本発明の第２の実施例について詳細に説明する。図２を参照すると、本実施例は、アクセス制限情報生成装置１と、シンクライアント管理サーバ２と、ネットワーク構成機器３と、シンクライアント端末装置４と、通常端末装置であるユーザー端末装置５とから構成されている。アクセス制限情報生成装置１、シンクライアント管理サーバ２およびネットワーク構成機器３は、イントラネット等のネットワーク７を介して相互に接続されており、シンクライアント端末装置４およびユーザー端末装置５は、ネットワーク構成機器３を介してネットワーク７にアクセスする。なお、ネットワーク構成機器３には、不正接続端末装置６が接続される可能性がある。
【００２９】
シンクライアント端末装置４は、ネットワーク７に接続する機能、入出力を行う機能などの最低限の機能しか持たない端末装置であり、シンクライアント管理サーバ２で管理されているアプリケーションプログラムやファイルといった資源を利用することにより、ユーザーに対してユーザー端末装置５と同様の機能を提供する。
【００３０】
ユーザー端末５は、パーソナルコンピュータ等の情報処理装置であり、ネットワーク構成機器３を介してネットワーク７にアクセスする機能を備えている。
【００３１】
ネットワーク構成機器３は、ネットワークスイッチやルータによって実現されるものであり、アクセス制限情報生成装置１から送られてきたアクセス制限情報に従って、各端末装置４〜６からネットワーク７へのアクセスを制限する機能を有する。
【００３２】
シンクライアント管理サーバ２は、シンクライアント端末装置４に利用させるアプリケーションプログラムやファイルなどの資源を管理する機能を有する。
【００３３】
アクセス制限情報生成装置１は、管理者によって入力されたシンクライアントシステムの特徴を示す特徴情報と、予め設定されているシンクライアントシステムの特徴に応じたアクセス制限方法とに基づいて、アクセス制限情報を生成し、生成したアクセス制限情報をネットワーク構成機器３に送信する機能を有する。
【００３４】
このような機能を有するアクセス制限情報生成装置１は、シンクライアント特徴入力手段１１と、アクセス制限方法選択手段１２と、アクセス制限情報生成手段１３と、送信手段１４とを備えている。また、アクセス制限情報生成装置１には、キーボード等の入力装置１５と、ＬＣＤ等の表示装置１６と、ディスク装置などの記憶装置１７とが接続されている。
【００３５】
記憶装置１７には、アクセス制限方法記憶部１７１と、アクセス制限情報記憶部１７２とが設けられている。アクセス制限方法記憶部１７１には、シンクライアントシステムの特徴に対応付けて、その特徴を有するシンクライアントシステムに適したアクセス制限方法が登録されている。また、アクセス制限情報記憶部１７２には、アクセス制限情報生成手段１３によって生成されたアクセス制限情報が登録される。
【００３６】
図３はアクセス制限方法記憶部１７１の内容例を示した図である。同図の例の第１番目のエントリは、実装方式が仮想ＰＣ型であるという特徴を有するシンクライアントシステムに適したアクセス制限方法が、ＤＨＣＰプロトコル及びＲＤＰプロトコルによるパケットのみを通過させるフィルタを用いるものであることを示している。また、同図の例の第３番目のエントリは、実装方式が仮想ＰＣ型あるいは画面転送型で、且つ通常端末装置の接続を許可しないという特徴を有するシンクライアントシステムに適したアクセス制限方法が、ネットワーク構成機器３のネットワーク７側のインタフェースの接続先をシンクライアント管理サーバ２のみに制限する方法であることを示している。
【００３７】
シンクライアント特徴入力手段１１は、管理者が入力装置１５を用いて入力した、アクセス制限を行うシンクライアントシステムの特徴を表す特徴情報を受け付ける機能を有する。
【００３８】
アクセス制限方法選択手段１２は、アクセス制限方法記憶部１７１に登録されているアクセス制限方法の中からシンクライアント特徴入力手段１１が受け付けた特徴情報によって示されるシンクライアントシステムの特徴に合ったアクセス制限方法を選択する機能を有する。
【００３９】
アクセス制限情報生成手段１３は、アクセス制限方法選択手段１２で選択されたアクセス制限方法に従ってアクセス制限を行うためのアクセス制限情報を生成し、生成したアクセス制限情報をアクセス制限情報記憶部１７２に登録する機能を有する。
【００４０】
送信手段１４は、アクセス制限情報記憶部１７２に登録されているアクセス制限情報を、ネットワーク７を介してネットワーク構成機器３に送信する機能を有する。
【００４１】
このような機能を有するアクセス制限情報生成装置１は、コンピュータにより実現可能であり、コンピュータによって実現する場合は、例えば、次のようにする。コンピュータをアクセス制限情報生成装置１として機能させるためのプログラムを記録したディスク、半導体メモリ、その他の記録媒体を用意し、コンピュータに上記プログラムを読み取らせる。コンピュータは、読み取ったプログラムに従って自身の動作を制御することにより、自コンピュータ上に、シンクライアント特徴入力手段１１、アクセス制限方法選択手段１２、アクセス制限情報生成手段１３および送信手段１４を実現する。
【００４２】
〔第２の実施例の動作の説明〕
次に本実施例の動作について詳細に説明する。
【００４３】
先ず、図４のフローチャートに示すように、管理者が入力装置１５からアクセス制限情報生成装置１に対して、アクセス制限を行うシンクライアントシステムの特徴を示す特徴情報を入力する（ステップＡ１）。この特徴情報は、シンクライアント特徴入力手段１１によって受け付けられる。
【００４４】
ここで、ステップＡ１で入力する特徴情報について説明する。シンクライアントシステムには、ネットワークブート型、画面転送型、仮想ＰＣ型などの様々な実装方式が存在する。更に、シンクライアント端末装置４のみの接続を許可するものもあれば、通常端末装置であるユーザー端末装置５の接続も許可するものもある。更に、端末装置の個体認証を実施するものもあれば、実施しないものもある。更に、ネットワーク認証を実施するものもあれば、実施しないものもある。
【００４５】
そこで、本実施例では、ステップＡ１において、次の各情報を含んだ特徴情報を入力する。
【００４６】
・実装方式情報…実装方式がネットワークブート型、画面転送型あるいは仮想ＰＣ型の何れであるかを示す情報。
・実装制限情報…実装方式に応じたアクセス制限を実施するか否かを示す情報。
・接続可否情報…ユーザー端末装置（通常端末装置）の接続を許可するか否かを示す情報。
・個体認証有無情報…端末装置の個体認証を実施するか否かを示す情報。
・ネットワーク認証有無情報…ネットワーク認証を行うか否かを示す情報。
【００４７】
なお、特徴情報の入力方法としては種々の方法を採用することができ、例えば、対話形式で入力する方法や、選択形式で入力する方法などを採用することができる。
【００４８】
その後、ステップＡ１において入力された特徴情報に基づいて、アクセス制限方法選択手段１２およびアクセス制限情報生成手段１３が、次のような処理を行う。
【００４９】
先ず、アクセス制限方法選択手段１２は、シンクライアント特徴入力手段１１が受け付けた特徴情報から認識されるシンクライアントシステムの特徴に基づいて、アクセス制限の対象にするシンクライアントシステムが個体認証を実施するものであるか否かを判定する（ステップＡ２）。
【００５０】
そして、個体認証を実施するものであると判定した場合（ステップＡ２がＹｅｓ）は、次のような処理を行う。
【００５１】
先ず、アクセス制限方法選択手段１２は、表示装置１６にメッセージを表示することにより、管理者に対してネットワーク７への接続（アクセス）を許可する端末装置の機器固有情報のリストを要求する。なお、本実施例では、機器固有情報としてＭＡＣアドレスを使用するが、これに限られるものではなく、ＩＰアドレスなどを使用することもできる。その後、アクセス制限方法選択手段１２は、アクセス制限方法記憶部１７１から特徴「個体認証を実施」に対応付けて登録されているアクセス制限方法「ＭＡＣアドレスフィルタを生成」を取り出す。その後、管理者によって、ネットワーク７への接続を許可する端末装置のＭＡＣアドレスのリストが入力されると、リストとアクセス制限方法とをアクセス制限情報生成手段１３に渡す。アクセス制限情報生成手段１３では、アクセス制限方法選択手段１２から渡されたリストおよびアクセス制限方法に従って、アクセス制限情報として、上記リストに載っているＭＡＣアドレスを送信元とするパケットのみを通過させるＭＡＣアドレスフィルタを生成し、生成したＭＡＣアドレスフィルタをアクセス制限情報記憶部１７２に登録する（ステップＡ３）。
【００５２】
その後、アクセス制限方法選択手段１２はシンクライアント特徴入力手段１１が受け付けた特徴情報に基づいて、アクセス制限の対象にするシンクライアントシステムが実装方式に応じたアクセス制限を実施するものであるか否かを判定する（ステップＡ４）。
【００５３】
そして、実装方式に応じたアクセス制限を実施しないものである場合（ステップＡ４がＮｏ）は、送信手段１４に対してアクセス制限情報の送信を指示する。この指示に従って、送信手段１４は、アクセス制限情報記憶部１７２に登録されているアクセス制限情報をネットワーク構成機器３へ送信する（図５のステップＡ１５）。
【００５４】
これに対して、実装方式に応じたアクセス制限を実施するものである場合（ステップＡ４がＹｅｓ）は、シンクライアント特徴入力手段１１が受け付けた特徴情報に基づいて、アクセス制限の対象にしているシンクライアントシステムの実装方式を判定する（ステップＡ５）。
【００５５】
そして、実装方式が仮想ＰＣ型である場合は、アクセス制限方法記憶部１７１から特徴「実装方式が仮想ＰＣ型」に対応付けて登録されているアクセス制限方法「ＤＨＣＰプロトコルおよびＲＤＰプロトコルによるパケットのみの通過を許可するフィルタの生成」を取り出し、取り出したアクセス制限方法をアクセス制限情報生成手段１３に渡す。これにより、アクセス制限情報生成手段１３は、アクセス制限情報として、ＤＨＣＰプロトコルおよびＲＤＰプロトコルによるパケットのみを通過させるフィルタを生成し、生成したフィルタをアクセス制限情報記憶部１７２に登録する（ステップＡ６）。即ち、実装方式が仮想ＰＣ型のシンクライアントシステムにおいては、シンクライアント端末装置４とシンクライアント管理サーバ２との間の情報のやり取りはＲＤＰプロトコルを用いて行われ、また、シンクライアント端末装置４がネットワーク７にアクセスするために必要になるＩＰアドレスはＤＨＣＰプロトコルを利用して獲得するケースが多いため、ＤＨＣＰプロトコルおよびＲＤＰプロトコルによるパケットのみを通過させるフィルタを生成する。
【００５６】
また、実装方式が画面転送型である場合は、アクセス制限方法記憶部１７１から特徴「実装方式が画面転送型」に対応付けて登録されているアクセス制限方法「ＤＨＣＰプロトコルおよびＩＣＡプロトコルによるパケットのみの通過を許可するフィルタを生成」を取り出し、アクセス制限情報生成手段１３に渡す。これにより、アクセス制限情報生成手段１３は、アクセス制限情報として、ＤＨＣＰプロトコルおよびＩＣＡプロトコルによるパケットのみを通過させるフィルタを生成し、生成したフィルタをアクセス制限情報記憶部１７２に登録する（ステップＡ７）。即ち、実装方式が画面転送型のシンクライアントシステムにおいては、シンクライアント端末装置４とシンクライアント管理サーバ２との間の情報のやり取りはＩＣＡプロトコルを用いて行われ、また、シンクライアント端末装置４がネットワーク７にアクセスするために必要になるＩＰアドレスはＤＨＣＰプロトコルを利用して獲得するケースが多いため、ＤＨＣＰプロトコルおよびＩＣＡプロトコルによるパケットのみを通過させるフィルタを生成する。
【００５７】
実装方式が仮想ＰＣ型あるいは画面転送型であった場合には、ステップＡ６、Ａ７が終了した後、アクセス制限方法選択手段１２は、シンクライアント特徴入力手段１１が受け付けた特徴情報に基づいて、アクセス制限の対象にしているシンクライアントシステムは、ユーザー端末装置の接続を許可しているものか否かを判定する（図５のステップＡ８）。
【００５８】
そして、ユーザー端末装置（通常端末装置）の接続を許可していない場合（ステップＡ８がＮｏ）は、アクセス制限方法記憶部１７１から特徴「実装方式が仮想ＰＣ型あるいは画面転送型で、且つ通常端末装置の接続が不可」に対応付けて登録されているアクセス制限方法「ネットワーク構成機器３のネットワーク７側のインタフェースの接続先をシンクライアント管理サーバ２に制限するフィルタを生成」を取り出し、アクセス制限情報生成手段１３に渡す。アクセス制限情報生成手段１３では、渡されたアクセス制限方法に従って、アクセス制限情報として、ネットワーク構成機器３のネットワーク７側のインタフェースの接続先をシンクライアント管理サーバ２に制限するフィルタを生成し、生成したフィルタをアクセス制限情報記憶部１７２に登録する（ステップＡ１２）。このステップＡ１２で生成したアクセス制限情報を用いてアクセス制限を行った場合、シンクライアント端末装置４以外の端末装置（ユーザー端末装置５や不正接続端末装置６）もシンクライアント管理サーバ２に接続されることになるが、シンクライアント管理サーバ２において実施されるシンクライアント認証処理においてシンクライアント端末装置４以外は正しいシンクライアント認証情報を送信することができないので、接続が拒否されることになる。
【００５９】
これに対して、ユーザー端末装置の接続が許可されている場合（ステップＡ８がＹｅｓ）は、シンクライアント特徴入力手段１１が受け付けた特徴情報に基づいて、アクセス制限の対象にするシンクライアントシステムが、ユーザー端末装置だけでなく、シンクライアント端末装置についてもネットワーク認証を行うものであるか否かを判定する（ステップＡ９）。そして、シンクライアント端末装置およびユーザー端末装置に対してネットワーク認証を行うものであると判定した場合（ステップＡ９がＹｅｓ）は、アクセス制限方法記憶部１７１から特徴「実装方式が仮想ＰＣ型あるいは画面転送型、通常端末装置の接続を許可、シンクライアント端末装置および通常端末装置に対してネットワーク認証を実施」に対応付けて登録されているアクセス制限方法「ネットワーク構成機器３の端末接続ポートにネットワーク認証ポートを設定。認証失敗時にはアクセス拒否(Reject)。」を取り出し、アクセス制限情報生成手段１３に渡す。アクセス制限情報生成手段１３では、渡されたアクセス制限方法に従って、ネットワーク構成機器３の端末接続ポートにネットワーク認証ポートを設定し、認証失敗時にはアクセスを拒否するためのアクセス制限情報を生成し、生成したアクセス制限情報をアクセス制限情報記憶部１７２に登録する（ステップＡ１０）。
【００６０】
また、ステップＡ９において、アクセス制限の対象にするシンクライアントシステムが、シンクライアント端末装置４に対してはネットワーク認証を行わないものであると判定した場合（判定結果がＮｏの場合）は、アクセス制限方法記憶部１７１から特徴「実装方式が仮想ＰＣ型あるいは画面転送型、通常端末装置の接続を許可、通常端末装置に対してネットワーク認証を実施」に対応付けて登録されているアクセス制限方法「ネットワーク構成機器３の端末接続ポートにネットワーク認証ポートを設定。ネットワーク認証失敗時にはＤｅｆａｕｌｔ ＶＬＡＮに接続。」を取り出し、アクセス制限情報生成手段１３に渡す。アクセス制限情報生成手段１３では、渡されたアクセス制限方法に従って、ネットワーク構成機器３の端末接続ポートにネットワーク認証ポートを設定し、ネットワーク認証失敗時には端末装置をＤｅｆａｕｌｔ ＶＬＡＮに接続させるためのアクセス制限情報を生成し、生成したアクセス制限情報をアクセス制限情報記憶部１７２に格納する（ステップＡ１１）。
【００６１】
Ｄｅｆａｕｌｔ ＶＬＡＮとは、ネットワーク認証が失敗した端末装置にもネットワーク構成機器３を越えたネットワークアクセス（シンクライアント管理サーバ２に対するアクセス）を許可するために用意するＶＬＡＮであり、アクセスできる範囲が制限されたＶＬＡＮである。ネットワーク認証に失敗した端末装置をＤｅｆａｕｌｔ ＶＬＡＮに接続するのは、次の理由からである。ステップＡ１１で生成されたアクセス制限情報に従ってネットワーク構成機器３の端末接続ポートにネットワーク認証ポートを設定するようにすると、シンクライアント端末装置４についてはネットワーク認証を行わないシンクライアントシステム（シンクライアント端末装置４がネットワーク認証を行うための構成を備えていないシンクライアントシステム）では、不正接続端末装置６だけでなく、シンクライアント端末装置４もネットワーク認証に失敗してしまう。従って、ネットワーク認証失敗時にアクセスを拒否するようにすると、シンクライアント端末装置４がシンクライアント管理サーバ２をアクセスできなくなってしまう。そこで、シンクライアント端末装置４がシンクライアント管理サーバ２をアクセスできるようにするため、Ｄｅｆａｕｌｔ ＶＬＡＮに接続するようにしている。なお、不正接続端末装置６もＤｅｆａｕｌｔ ＶＬＡＮに接続されることにより、シンクライアント管理サーバ２をアクセスすることができるようになるが、シンクライアント管理サーバ２が行うシンクライアント認証処理によって接続が拒否される。
【００６２】
次に、図４のステップＡ５において、アクセス制限の対象にするシンクライアントシステムの実装方式がネットワークブート型であると判定された場合の動作について説明する。この場合、アクセス制限方法選択手段１２は、シンクライアント特徴入力手段１１が受け付けた特徴情報に基づいて、アクセス制限の対象にしているシンクライアントシステムがネットワーク認証を行うものであるか否かを判定する（図５のステップＡ１３）。
【００６３】
そして、ネットワーク認証を行わないと判定した場合（ステップＡ１３がＮｏ）は、送信手段１４に対して送信指示を出力する。これにより、送信手段１４は、アクセス制限情報記憶部１７２に登録されているアクセス制限情報をネットワーク構成機器３へ送信する（ステップＡ１５）。
【００６４】
これに対して、ネットワーク認証を行うと判定した場合（ステップＡ１３がＹｅｓ）は、アクセス制限方法記憶部１７１から特徴「実装方式がネットワークブート型で、且つネットワーク認証を行う。」に対応付けて登録されているアクセス制限方法「ネットワーク構成機器３の端末接続ポートにネットワーク認証ポートを設定。ネットワーク認証失敗時にはＤｅｆａｕｌｔ ＶＬＡＮに接続。Ｄｅｆａｕｌｔ ＶＬＡＮではネットワークブートのためのポートを開く。」を取り出し、アクセス制限情報生成手段１３に渡す。アクセス制限情報生成手段１３では、上記アクセス制限方法に従って、「ネットワーク構成機器３の端末接続ポートにネットワーク認証ポートを設定し、アクセス認証失敗時にはＤｅｆａｕｌｔ ＶＬＡＮに接続させ、Ｄｅｆａｕｌｔ ＶＬＡＮではネットワークブートのために必要なポート（ＤＨＣＰ、ＰＸＥなど）を開く」ためのアクセス制限情報を生成し、アクセス制限情報記憶部１７２に登録する（ステップＡ１４）。そして、ステップＡ１４の処理が終了すると、アクセス制限情報生成手段１３は、送信手段１４に対して送信指示を出力する。これにより、送信手段１４は、アクセス制限情報記憶部１７２に登録されているアクセス制限情報をネットワーク構成機器３へ送信する（ステップＡ１５）。なお、ステップＡ１０〜Ａ１２が終了した場合も、アクセス制限情報生成手段１３は、送信手段１４に対して送信指示を出力し、アクセス制限情報記憶部１７２に登録されているアクセス制限情報をネットワーク構成機器３へ送信させる。
【００６５】
ネットワーク構成機器３は、アクセス制限情報生成装置１から送られきたアクセス制限情報を自機器３の設定に反映させ、シンクライアントシステムの特徴に合った不正アクセス防止環境を構築する（ステップＡ１６）。
【００６６】
次に、図６を参照し、ネットワーク構成機器３が図４のステップＡ３で生成されたＭＡＣアドレスフィルタを利用してアクセス制限を行う場合の動作について説明する。
【００６７】
利用者がシンクライアント端末装置４を操作し、シンクライアント管理サーバ２への接続を試みることにより、シンクライアント端末装置４から通信パケットが送出される（ステップＢ１）。
【００６８】
ネットワーク構成機器３は、シンクライアント端末装置４から通信パケットが送られてくると、通信パケットから個体認証を行うために必要な情報（本実施例では、送信元のＭＡＣアドレス）を抽出する。その後、抽出したＭＡＣアドレスと、ステップＡ３で生成されたＭＡＣアドレスフィルタとに基づいて、シンクライアント端末装置４の接続を許可するか否かを判定する（ステップＢ２）。そして、シンクライアント端末装置４が接続可能な端末装置であると判定すると（ステップＢ２がＹｅｓ）、ネットワーク構成機器３はシンクライアント管理サーバ２に対して接続要求を送信し（ステップＢ３）、これによりシンクライアント管理サーバ２はシンクライアント端末装置４と接続する（ステップＢ４）。これで、シンクライアント端末装置４は、ネットワーク構成機器３を通してネットワーク７へのアクセスが可能となる。
【００６９】
次に、接続が許可されていない不正接続端末装置６がネットワーク構成機器３に接続された場合について説明する。
【００７０】
利用者が不正接続端末装置６を操作し、ネットワーク７へのアクセスを試みることにより、不正接続端末装置６から通信パケットが送出される（ステップＢ５）。
【００７１】
ネットワーク構成機器３は、不正接続端末装置６から送られてきた通信パケットから、個体認証を行うために必要となる情報（ＭＡＣアドレス）を抽出し、このＭＡＣアドレスとＭＡＣアドレスフィルタとに基づいて、不正接続端末装置６が接続を許可する端末装置であるか否かを判定する（ステップＢ６）。そして、不正接続端末装置６は接続を許可しない端末装置であると判定すると（ステップＢ６がＮｏ）、不正接続端末装置６の接続を拒否する（ステップＢ７）。以上の動作により、シンクライアント端末装置４はネットワーク７へのアクセスが許可され、不正接続端末装置６はネットワーク７へのアクセスが拒否されることになる。
【００７２】
次に、図７および図８を参照し、ネットワーク構成機器３が図５のステップＡ１０で生成されたアクセス制限情報に従ってアクセス制限を行う場合の動作を説明する。
【００７３】
利用者がシンクライアント端末装置４をネットワーク構成機器３に接続すると（ステップＣ１）、ネットワーク構成機器３は、シンクライアント端末装置4に対してネットワーク認証を行うために必要な情報を要求する（ステップＣ２）。
【００７４】
これにより、シンクライアント端末装置４は、ネットワーク認証に必要な情報（認証情報）をネットワーク構成機器３へ送信する（ステップＣ３）。この認証情報は、ネットワーク構成機器３を介して図示を省略したネットワーク認証サーバに送られ、ネットワーク認証が行われる。
【００７５】
ネットワーク構成機器３は、ネットワーク認証サーバによるネットワーク認証が成功すると（ステップＣ４がＹｅｓ）、シンクライアント端末装置４が接続されている通信ポートを開く（ステップＣ５）。これにより、シンクライアント端末装置４は、ネットワーク構成機器３を超えた通信が可能となる（ステップＣ６）。
【００７６】
次に、接続が許可されているユーザー端末装置５をネットワーク構成機器３に接続した場合の動作を説明する。
【００７７】
利用者がユーザー端末装置５をネットワーク構成機器３に接続すると（ステップＣ７）、ネットワーク構成機器３はユーザー端末装置５に対して認証情報を要求する（ステップＣ８）。これにより、ユーザー端末装置５は、認証情報をネットワーク構成機器３へ送信する（ステップ９）。この認証情報はネットワーク構成機器３を介してネットワーク認証サーバへ送られ、ネットワーク認証処理が行われる。
【００７８】
ネットワーク構成機器３は、ネットワーク認証サーバによる認証が成功すると（ステップＣ１０がＹｅｓ）、ユーザー端末装置５に接続されている通信ポートを開く（ステップＣ１１）。これにより、ユーザー端末装置５はネットワーク７を越えた通信を行うことが可能になる。
【００７９】
次に、接続が許可されていない不正接続端末装置６がネットワーク構成機器３に接続した場合の動作について説明する。
【００８０】
利用者が、不正接続端末装置６をネットワーク構成機器３に接続すると（図８のステップＣ１２）、ネットワーク構成機器３は不正接続端末装置６に対して認証情報を要求する（ステップＣ１３）。しかし、不正接続端末装置６は認証情報を送信することができない（ステップＣ１４）。そのため、ネットワーク構成機器３では、ネットワーク認証が失敗したと判定する（ステップＣ１５）。ネットワーク認証が失敗した場合には、不正接続端末装置６が接続されている通信ポートを遮断する（ステップＣ１６）。これにより、不正接続端末装置６は、ネットワーク構成機器３を越えた通信ができない。
【００８１】
以上の動作によりシンクライアント端末装置４およびユーザー端末装置５はネットワーク７へのアクセスが許可され、不正接続端末装置６はネットワーク７へのアクセスが拒否されることになる。
【００８２】
〔第２の実施例の効果〕
本実施例によれば、第１の実施例で得られる効果に加え、ネットワーク構成機器３に容易にアクセス制限情報を設定することができるという効果を得ることができる。その理由は、アクセス制限情報生成手段１３で生成されたアクセス制限情報をネットワーク構成機器３へ送信する送信手段１４を備えているからである。
【００８３】
〔本発明の第３の実施例〕
次に、本発明の第３の実施例について詳細に説明する。本実施例は、個体認証によるアクセス制限を実施する場合に必要になる、接続を許可する端末装置の機器固有情報（ＭＡＣアドレスなど）を管理者が１個ずつ入力するのではなく、ネットワーク構成機器においてネットワーク７に接続した端末装置の機器固有情報を全て収集しておき、その中から管理者が接続を許可する端末装置の機器固有情報を選択するようにしたことを特徴とする。
【００８４】
図９は本発明の第３の実施例の構成例を示すブロック図であり、図２に示した第２の実施例との相違点は、アクセス制限情報生成装置１、ネットワーク構成機器３の代わりにアクセス制限情報生成装置１ａ、ネットワーク構成機器３ａを備えている点である。
【００８５】
アクセス制限情報生成装置１ａは、収集要求送信手段１８が追加されている点、アクセス制限方法選択手段１２の代わりにアクセス制限方法選択手段１２ａを備えている点、送信手段１４の代わりに送受信手段１４ａを備えている点がアクセス制限情報生成装置１と相違している。
【００８６】
収集要求送信手段１８は、入力装置１５から入力される管理者の指示に従って、機器固有情報の収集要求をネットワーク構成機器３ａに送信する機能を有している。
【００８７】
送受信手段１４ａは、ネットワーク構成機器３ａから送られてきた機器固有情報をアクセス制限方法選択手段１２ａに渡す機能を備えている点が、送信手段１４と相違している。
【００８８】
アクセス制限方法選択手段１２ａは、機器固有情報の取得要求をネットワーク構成機器３ａに対して送信する機能、送受信手段１４ａから渡された機器固有情報を表示装置１６に表示する機能、および表示した機器固有情報の内の、管理者によって選択された機器固有情報のリストをアクセス制限情報生成手段１３に渡す機能を有している点がアクセス制限方法選択手段１２と相違している。
【００８９】
ネットワーク構成機器３ａは、機器固有情報収集手段３１を備えている点がネットワーク構成機器３と相違している。
【００９０】
機器固有情報収集手段３１は、アクセス制限情報生成装置１ａから機器固有情報の収集要求が送られてくることにより、機器固有情報の収集処理を開始し、ネットワーク７に接続した端末装置の機器固有情報（例えば、ＭＡＣアドレス）を収集する機能を有する。更に、機器固有情報収集手段３１は、アクセス制限情報生成装置１ａから機器固有情報の取得要求が送られてくることにより、機器固有情報の収集処理を終了し、収集してある機器固有情報をアクセス制限情報生成装置１ａへ送信する機能を有する。
【００９１】
なお、アクセス制限情報生成装置１ａもアクセス制限情報生成装置１と同様にコンピュータによって実現可能である。
【００９２】
〔第３の実施例の動作の説明〕
次に、本実施例の動作について説明する。
【００９３】
先ず、機器固有情報の収集処理について説明する。
【００９４】
管理者は、機器固有情報の収集処理を開始させる場合、入力装置１５から収集要求の送信指示を入力する。これにより、図１０のフローチャートに示すように、収集要求送信手段１８がネットワーク構成機器３ａへ機器固有情報の収集要求を送信する（ステップＤ１）。
【００９５】
ネットワーク構成機器３ａ内の機器固有情報収集手段３１は、機器固有情報の収集要求が送られてくると、機器固有情報の収集処理を開始し、ネットワーク７をアクセスする端末装置が現れる毎に（ステップＤ２、Ｄ４、Ｄ６）、端末装置の機器固有情報（例えば、ＭＡＣアドレス）を収集し、収集した機器固有情報をネットワーク構成機器３ａ内の記憶装置（図示せず）に登録する（ステップＤ３、Ｄ５、Ｄ７）。その際、収集した機器固有情報が既に登録済みか否かを調べ、登録済みである場合には、登録処理を行わないようにしても良い。
【００９６】
次に、アクセス制限情報生成時の動作について説明する。本実施例と前述した第２の実施例とでは、図４のステップＡ３で行う処理が異なるだけであるので、この点についてのみ説明する。
【００９７】
本実施例では、ステップＡ３の代わりに、図１１のフローチャートに示す処理を行う。アクセス制限方法選択手段１２ａは、シンクライアント特徴入力手段１１が受け付けた特徴情報に基づいて、アクセス制限の対象にしているシンクライアントシステムが、個体認証を行うものであると判定した場合は、図１１に示すように、ネットワーク構成機器３ａに対して機器固有情報の取得要求を送信する（ステップＥ１）。
【００９８】
ネットワーク構成機器３ａ内の機器固有情報収集手段３１は、機器固有情報の取得要求を受信すると、記憶装置に保存している機器固有情報をアクセス制限情報生成装置１ａに送信する（ステップＥ２）。
【００９９】
アクセス制限情報生成装置１ａ内の送受信手段１４ａは、ネットワーク構成機器３ａから機器固有情報が送られてくると、それをアクセス制限方法選択手段１２ａに渡し、アクセス制限方法選択手段１２ａは、送受信手段１４ａから渡された機器固有情報を全て表示装置１６に表示する（ステップＥ３）。その際、機器固有情報をソートして表示するようにしても良い。
【０１００】
管理者は、表示装置１６に機器固有情報が表示されると、その中からネットワーク７へのアクセスを許可する端末装置の機器固有情報を選択する。
【０１０１】
アクセス制限方法選択手段１２ａは、管理者によってネットワーク７への接続を許可する端末装置の機器固有情報が選択されると、図３に示すアクセス制限方法記憶部１７１から特徴「個体認証を実施」に対応付けて登録されているアクセス制限方法「ＭＡＣアドレスフィルタを生成」を取得し、取得したアクセス制限方法と管理者によって選択された機器固有情報（ＭＡＣアドレス）のリストとをアクセス制限情報生成手段１３に渡す。アクセス制限情報生成手段１３では、アクセス制限方法選択手段１２ａから渡されたアクセス制限方法およびＭＡＣアドレスのリストに従って、アクセス制限情報として、上記リストに載っているＭＡＣアドレスを送信元とするパケットのみを通過させるフィルタを生成し、生成したフィルタをアクセス制限情報記憶部１７２に格納する（ステップＥ４）。以上が、ステップＡ３の代わりに、本実施例で行う処理である。
【０１０２】
〔第３の実施例の効果〕
本実施例によれば、第１、第２の実施例で得られる効果に加え、個体認証を行うシンクライアントシステムに対するアクセス制限情報を容易に生成することが可能になるという効果を得ることができる。その理由は、ネットワーク７に接続した端末装置の機器固有情報を収集する機器固有情報収集手段３１をネットワーク構成機器３が備え、機器固有情報収集手段３１で収集された機器固有情報の中からネットワーク７へのアクセスを許可する端末装置の機器固有情報を選択するようにしているからである。
【０１０３】
〔本発明の第４の実施例〕
次に、本発明の第４の実施例について説明する。本実施例は、シンクライアントシステムの特徴を入力するだけで、そのシンクライアントシステムを利用する上での注意点や、実施可能なアクセス制限方法などを、管理者に提示できるようにした点を特徴とする。
【０１０４】
図１２は本発明の第４の実施例のブロック図であり、図２に示した第２の実施例との相違点は、アクセス制限情報生成装置１の代わりにアクセス制限情報生成装置１ｂを備えている点である。
【０１０５】
アクセス制限情報生成装置１ｂは、アドバイス手段１９を備えている点、および記憶装置１７内にアドバイス情報記憶部１７３が設けられている点が図２に示した第２の実施例と相違している。
【０１０６】
アドバイス情報記憶部１７３には、シンクライアントシステムの特徴に対応付けて、表示すべきアドバイス情報が格納されている。アドバイス手段１９は、管理者によって入力されたシンクライアントシステムの特徴に応じた注意点や実施可能なアクセス制限方法などを表示装置１６に表示する機能を有する。
【０１０７】
なお、アクセス制限情報生成装置１ｂもアクセス制限情報生成装置１と同様にコンピュータによって実現可能である。
【０１０８】
〔第４の実施例の動作の説明〕
次に、本実施例の動作について詳細に説明する。
【０１０９】
管理者は導入済みのシンクライアントや、導入予定のシンクライアントに関する注意点などを知りたい場合、アクセス制限情報生成装置１ｂの動作モードをアドバイスモードにし、アドバイスを受けたいシンクライアントシステムの特徴を表す特徴情報を入力装置１５から入力する（図１３のステップＦ１）。シンクライアント特徴入力手段１１は、動作モードがアドバイスモードになっている場合は、入力装置１５から入力された特徴情報をアドバイス手段１９に渡す。なお、ステップＦ１で入力する特徴情報の具体的な内容は、第２の実施例と同様である。
【０１１０】
アドバイス手段１９は、シンクライアント特徴入力手段１１からアドバイスを行うシンクライアントシステムの特徴情報が入力されると、それに基づいてアドバイス対象にするシンクライアントシステムの実装方式を判定する（ステップＦ２）。
【０１１１】
そして、実装方式が画面転送型であると判定した場合は、アドバイス情報記憶部１７３から特徴「実装方式が画面転送型」に対応付けて登録されているアドバイス情報「ＤＨＣＰプロトコルおよびＩＣＡプロトコルによるパケットのみを通過させるフィルタによりアクセス制限を実施できる」を取り出し、表示装置１６に表示する（ステップＦ３）。
【０１１２】
また、実装方式が仮想ＰＣ型であると判定した場合は、アドバイス情報記憶部１７３から特徴「実装方式が仮想ＰＣ型」に対応付けて登録されているアドバイス情報「ＤＨＣＰプロトコルおよびＲＤＰプロトコルによるパケットのみを通過させるフィルタによりアクセス制限を実施できる」を取り出し、表示装置１６に表示する（ステップＦ４）。
【０１１３】
また、実装方式がネットワークブート型であると判定した場合は、アドバイス情報記憶部１７３から特徴「実装方式がネットワークブート型」に対応付けて登録されているアドバイス情報「プロトコルによるアクセス制限は殆ど実施することができない」を取り出し、表示装置１６に表示する（ステップＦ５）。即ち、ネットワークブート型のシンクライアント端末装置は、ネットワークブート後にはユーザー端末装置と同様の動作を行い、プロトコルによるアクセス制限を行うことが難しいため、上記した表示を行う。
【０１１４】
シンクライアントシステムの実装方式が画面転送型あるいは仮想ＰＣ型であった場合には、ステップＦ３、Ｆ４の処理を行った後、シンクライアント特徴入力手段１１から渡された特徴情報に基づいて、ユーザー端末装置５の接続が許可されているか否かを判定する（ステップＦ６）。
【０１１５】
そして、ユーザー端末装置５の接続が許可されていない場合（ステップＦ６がＮｏ）は、アドバイス情報記憶部１７３から特徴「ユーザー端末装置５の接続が許可されていない」に対応付けて登録されているアドバイス情報「ネットワーク構成機器３のネットワーク７側のインタフェースの接続先をシンクライアント管理サーバ２のみに制限することができる。」を取り出し、表示装置１６に表示する（ステップＦ７）。
【０１１６】
これに対して、ユーザー端末装置５の接続が許可されている場合（ステップＦ６がＹｅｓ）は、シンクライアント特徴入力手段１１から渡された特徴に基づいて、アドバイス対象にしているシンクライアントが、ユーザー端末装置５だけでなく、シンクライアント端末装置４についてもネットワーク認証を実施するものであるか否かを判定する（ステップＦ８）。
【０１１７】
そして、シンクライアント端末装置４についてもネットワーク認証を実施するものであると判定した場合（ステップＦ８がＹｅｓ）は、アドバイス情報記憶部１７３から特徴「実装方式が画面転送型あるいは仮想ＰＣ型で、且つシンクライアント端末装置についてもネットワーク認証を実施する」に対応付けて登録されているアドバイス情報「ネットワーク構成機器３の接続ポートをネットワーク認証ポートに設定し、ネットワーク認証失敗時は端末アクセスを拒否する設定を行うことによりアクセス制限を行うことができる。」を取り出し、表示装置１６に表示する（ステップＦ９）。
【０１１８】
これに対して、シンクライアント端末装置４についてはネットワーク認証を実施しないものであると判定した場合（ステップＦ８がＮｏ）は、アドバイス情報記憶部１７３から特徴「実装方式が画面転送型あるいは仮想ＰＣ型で、且つシンクライアント端末装置についてはネットワーク認証を実施しない」に対応付けて登録されているアドバイス情報「ネットワーク構成機器３の接続ポートをネットワーク認証ポートに設定し、ネットワーク認証失敗時は接続端末装置をＤｅｆａｕｌｔ ＶＬＡＮに接続させる設定を行うことによりアクセス制限を行うことができる。」を取り出し、表示装置１６に表示する（ステップＦ１０）。
【０１１９】
また、アドバイス対象にしているシンクライアントシステムの実装方式がネットワークブート型であった場合は、ステップＦ５の処理を行った後、シンクライアント特徴入力手段１１から渡された特徴に基づいて、アドバイス対象にしているシンクライアントシステムがネットワーク認証を行うものであるか否かを判定する（ステップＦ１１）。
【０１２０】
そして、ネットワーク認証を実施するものであると判定した場合（ステップＦ１１がＹｅｓ）は、アドバイス情報記憶部１７３から特徴「実装方式がネットワークブート型で、且つネットワーク認証を行う」に対応付けて登録されているアドバイス情報「ネットワーク構成機器３の接続ポートをネットワーク認証ポートに設定し、ネットワーク認証失敗時はＤｅｆａｕｌｔ ＶＬＡＮに接続させ、Ｄｅｆａｕｌｔ ＶＬＡＮでは、ネットワークブートのために必要なポート（ＤＨＣＰ、ＰＸＥ等）を開く設定を行えばよい。」を取り出し、表示装置１６に表示する（ステップＦ１２）。
【０１２１】
これに対して、ネットワーク認証を実施しないものであると判定した場合（ステップＦ１１がＮｏ）は、アドバイス情報記憶部１７３から特徴「実装方式がネットワークブート型で、且つネットワーク認証を実施しない。」に対応付けて登録されているアドバイス情報「ネットワーク認証をさせない場合には、この環境は不正接続のリスクが高い。」を取り出し、表示装置１６に表示する（ステップＦ１３）。
【０１２２】
最後に、ＭＡＣアドレス等の機器固有情報収集し、接続を許可する端末の機器固有情報を登録することにより、アクセス制限ができることを表示装置１６に表示する（ステップＦ１４）。
【０１２３】
〔第４の実施例の効果〕
本実施例によれば、第１、第２の実施例で得られる効果に加え、利用者が導入済みのシンクライアントシステムや、導入予定にしているシンクライアントシステムを運用する上での注意点や、実施可能なアクセス制限方法などを容易に知ることができるという効果を得ることができる。その理由は、クライアントシステムの実装方式および通常端末装置の接続可否に応じて予め設定されている注意点および実施可能なアクセス制限方法を含むアドバイス情報中から、シンクライアント特徴入力手段１１が認識しているシンクライアントシステムの実装方式および通常端末装置の接続可否に応じたアドバイス情報を選択し、選択したアドバイス情報を表示装置に表示するアドバイス手段１９を備えているからである。
【産業上の利用可能性】
【０１２４】
本発明は、シンクライアントシステムの不正アクセス防止に適用することができる。
【図面の簡単な説明】
【０１２５】
【図１】本発明の第１の実施例の構成例を示すブロック図である。
【図２】本発明の第２の実施例の構成例を示すブロック図である。
【図３】アクセス制限方法記憶部１７１の内容例を示す図である。
【図４】アクセス制限情報生成装置１の処理例の一部を示すフローチャートである。
【図５】アクセス制限情報生成装置１の処理例の残りの部分を示すフローチャートである。
【図６】個体認証によるアクセス制限を実施した場合の動作を示す図である。
【図７】ネットワーク認証によるアクセス制限を実施した場合の動作（ネットワーク認証成功時）を説明する図である。
【図８】ネットワーク認証によるアクセス制限を実施した場合の動作（ネットワーク認証失敗時）の動作を説明するための図である。
【図９】本発明の第３の実施例の構成例を示すブロック図である。
【図１０】機器固有情報収集時の動作を示す図である。
【図１１】機器固有情報（ＭＡＣアドレス）を利用したアクセス制限情報を生成する際の動作を示す図である。
【図１２】本発明の第４の実施例の構成例を示すブロック図である。
【図１３】アクセス制限情報生成装置１ｂの処理例を示すフローチャートである。
【符号の説明】
【０１２６】
１、１ａ、１ｂ、１００…アクセス制限情報生成装置
１１、１０１…シンクライアント特徴入力手段
１２、１２ａ、１０２…アクセス制限方法選択手段
１３、１０３…アクセス制限情報生成手段
１４…送信手段
１４ａ…送受信手段
１５…入力装置
１６…表示装置
１７…記憶装置
１７１…アクセス制限方法記憶部
１７２…アクセス制限情報記憶部
１７３…アドバイス情報記憶部
１８…収集要求送信手段
１９…アドバイス手段
２…シンクライアント管理サーバ
３、３ａ…ネットワーク構成機器
３１…機器固有情報収集手段
４…シンクライアント端末装置
５…ユーザー端末装置
６…不正接続端末装置
【技術分野】
【０００１】
本発明は、シンクライアントシステムおいてアクセス制限対象ネットワークに対する不正アクセスを防止する技術に関し、特に、アクセス制限対象ネットワークに対してシンクライアントシステムの特徴に合ったアクセス制限を行うことができるアクセス制限情報を生成するアクセス制限情報生成技術に関する。
【背景技術】
【０００２】
近年、情報漏洩問題が多発しており、情報の持ち出しを制限する目的で、データを記憶しておくことができないシンクライアント端末装置を利用するシンクライアントシステムの導入のニーズが高まっている。しかしながら、シンクライアントシステムを導入しただけで、情報漏洩対策が万全であると間違った認識をしているケースが多く、シンクライアント端末装置以外の端末装置（通常端末装置）が接続された場合のリスクを考慮していない場合が多い。また、シンクライアントシステムを導入する場合には、全ての端末装置を一気にシンクライアント端末装置に変更するケースは少なく、シンクライアント端末装置と通常端末装置とが併用されるケースが多い。この導入過渡期における不正アクセス対策を考慮していないケースも非常に多い。
【０００３】
シンクライアントシステムを導入しても、不正アクセス対策を施さない限り、通常端末装置がアクセス制限対象となるネットワークをアクセスすることができてしまい、ここから情報が漏洩してしまう危険性がある。このため、シンクライアントシステムにおいても不正アクセス対策を施す必要があり、端末装置とアクセス制限対象ネットワーク（イントラネット等）との間に設置されるネットワーク構成機器（ネットワークスイッチ、ルータ等）に不正アクセスを防止するためのアクセス制限情報を設定することが必要になる。
【０００４】
ところで、シンクライアントシステムには、ネットワークブート型、画面転送型、仮想ＰＣ型などの様々な実装方式が存在し、実装方式により使用するプロトコルが異なっている。また、シンクライアント端末装置以外の通常端末装置の接続を許可するシンクライアントシステムも存在すれば、許可しないシンクライアントシステムも存在する。従って、ネットワーク構成機器にアクセス制限情報を設定する場合には、シンクライアントシステムの実装方式や、通常端末の接続の可否を考慮し、シンクライアントシステムに特徴に合ったアクセス制限情報を設定することが必要になる。このように、アクセス制限情報を設定する際には、実装方式によるプロトコルの違いや、通常端末装置の接続の可否を考慮する必要があるため、多くの知識や経験が必要であった。
【０００５】
一方、ルータ、スイッチといったネットワーク構成機器の設定に関する技術としては、従来から次のような技術が知られている（例えば、特許文献１、２参照）。
【０００６】
特許文献１に記載されている技術は、ネットワークセグメント間の通信可否を制御することが可能なルータの設定情報を生成する技術であり、表示装置にネットワークセグメントの対を表示し、ユーザーが表示された各対に対して入力した通信可否情報に基づいて、ルータに設定する設定情報（ネットワークセグメント間の通信を許可するか否かを示す情報）を生成するようにしている。
【０００７】
特許文献２に記載されている技術は、新たにネットワークに導入したスイッチにフィルタリング条件を設定するための技術であり、既存のスイッチに設定されているフィルタリング条件を新設したスイッチに転送することにより、新設スイッチにフィルタリング条件を設定するようにしている。
【０００８】
【特許文献１】特開２００５−３１１７０４号公報
【特許文献２】特開２００６−３４０１６１号公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
上述した特許文献１に記載されている技術によれば、ネットワークセグメント間の通信可否を制御するルータに設定する設定情報を容易に生成することは可能になる。また、特許文献２に記載されている従来の技術によれば、新設したスイッチに対するフィルタリング条件の設定を容易に行うことが可能になる。しかし、特許文献１、２は、シンクライアントシステムに関するものではないため、シンクライアントシステムのネットワーク構成機器に設定するアクセス制限情報を生成することはできない。即ち、実装方式や通常端末装置の接続可否を考慮した、シンクライアントシステムの特徴に合ったアクセス制限情報を生成することができない。
【００１０】
〔発明の目的〕
そこで、本発明の目的は、シンクライアントシステムの実装方式と通常端末装置の接続可否とを入力するだけで、シンクライアントシステムの特徴に合ったアクセス制限方法でアクセス制限を行うためのアクセス制限情報を生成できるようにすることにある。
【課題を解決するための手段】
【００１１】
本発明にかかる第１のアクセス制限情報生成装置は、
入力装置から入力されたシンクライアントシステムの実装方式および通常端末装置の接続可否を示す特徴情報を受け付けるシンクライアント特徴入力手段と、
シンクライアントシステムの実装方式および通常端末装置の接続可否に応じて予め設定されているアクセス制限方法の中から、前記シンクライアント特徴入力手段が受け付けた特徴情報によって示されるシンクライアントシステムの実装方式および通常端末装置の接続可否に適したアクセス制限方法を選択するアクセス制限方法選択手段と、
該アクセス制限方法選択手段で選択されたアクセス制限方法に従ってアクセス制限対象ネットワークに対するアクセス制限を実施するためのアクセス制限情報を生成するアクセス制限情報生成手段とを備えたことを特徴とする。
【００１２】
本発明にかかる第１のアクセス制限情報生成方法は、
コンピュータが、入力装置から入力されるシンクライアントシステムの実装方式および通常端末装置の接続可否を示す特徴情報を受け付けるシンクライアント特徴入力ステップと、
前記コンピュータが、シンクライアントシステムの実装方式および通常端末装置の接続可否に応じて予め設定されているアクセス制限方法の中から、前記シンクライアント特徴入力ステップで受け付けた特徴情報によって示されるシンクライアントシステムの実装方式および通常端末装置の接続可否に適したアクセス制限方法を選択するアクセス制限方法選択ステップと、
前記コンピュータが、前記アクセス制限方法選択ステップで選択されたアクセス制限方法に従ってアクセス制限対象ネットワークに対するアクセス制限を実施するためのアクセス制限情報を生成するアクセス制限情報生成ステップとを含むことを特徴とする。
【００１３】
本発明にかかる第１のプログラムは、
コンピュータを、
入力装置から入力されたシンクライアントシステムの実装方式および通常端末装置の接続可否を示す特徴情報を受け付けるシンクライアント特徴入力手段、
シンクライアントシステムの実装方式および通常端末装置の接続可否に応じて予め設定されているアクセス制限方法の中から、前記シンクライアント特徴入力手段が受け付けた特徴情報によって示されるシンクライアントシステムの実装方式および通常端末装置の接続可否に適したアクセス制限方法を選択するアクセス制限方法選択手段、
該アクセス制限方法選択手段で選択されたアクセス制限方法に従ってアクセス制限対象ネットワークに対するアクセス制限を実施するためのアクセス制限情報を生成するアクセス制限情報生成手段として機能させる。
【発明の効果】
【００１４】
本発明によれば、シンクライアントシステムの実装方式と通常端末装置の接続可否とを入力するだけで、シンクライアントシステムの特徴に合ったアクセス制限方法でアクセス制限を行うためのアクセス制限情報を生成することが可能になるという効果を得ることができる。
【発明を実施するための最良の形態】
【００１５】
次に、本発明を実施するための最良の形態について図面を参照して詳細に説明する。
【００１６】
〔本発明の第１の実施例〕
図１は本発明にかかるアクセス制限情報生成装置の第１の実施例の構成例を示すブロック図である。本実施例のアクセス制限情報生成装置１００は、管理者によって入力される、シンクライアントシステムの特徴を示す特徴情報に基づいて、シンクライアントシステムの特徴に合ったアクセス制限をネットワーク構成機器に行わせるためのアクセス制限情報を生成するものであり、シンクライアント特徴入力手段１０１と、アクセス制限方法選択手段１０２と、アクセス制限情報生成手段１０３とを備えている。
【００１７】
シンクライアント特徴入力手段１０１は、管理者によって入力される特徴情報を受け付ける。ここで、管理者が入力する特徴情報には、シンクライアントシステムの実装方式を示す実装方式情報および通常端末装置の接続を許可するか否かを示す接続可否情報が含まれる。
【００１８】
アクセス制限方法選択手段１０２は、シンクライアントシステムの実装方式および通常端末装置の接続可否に応じて予め設定されている、アクセス制限対象ネットワークに対するアクセス制限をどのような方法で実施するのかを示すアクセス制限方法の中から、シンクライアント特徴入力手段１０１が受け付けた特徴情報によって認識されるシンクライアントシステムの実装方式および通常端末装置の接続可否に適したアクセス制限方法を選択する機能を有する。
【００１９】
アクセス制限情報生成手段１０３は、アクセス制限方法選択手段１０２で選択されたアクセス制限方法に従ってアクセス制限対象ネットワークに対するアクセス制限を実施するためのアクセス制限情報を生成する機能を有する。
【００２０】
このような機能を有するアクセス制限情報生成装置１００は、コンピュータによって実現可能であり、コンピュータによって実現する場合は、例えば、次のようにする。コンピュータをアクセス制限情報生成装置１００として機能させるためのプログラムを記録したディスク、半導体メモリ、その他の記録媒体を用意し、コンピュータに上記プログラムを読み取らせる。コンピュータは、読み取ったプログラムに従って自身の動作を制御することにより、自コンピュータ上にシンクライアント特徴入力手段１０１、アクセス制限方法選択手段１０２、アクセス制限情報生成手段１０３を実現する。
【００２１】
〔第１の実施例の動作の説明〕
次に、本実施例の動作について詳細に説明する。
【００２２】
管理者は、シンクライアントシステムのネットワーク構成機器に設定するアクセス制限情報を生成する場合、シンクライアントシステムの特徴を示す特徴情報を入力する。即ち、シンクライアントシステムの実装方式（例えば、画面転送型、仮想ＰＣ型、ネットワークブート型など）を示す実装方式情報および通常端末装置の接続を許可するか否かを示す接続可否情報を含んだ特徴情報を入力する。
【００２３】
シンクライアント特徴入力手段１０１は、管理者によって入力された特徴情報を受け付ける。
【００２４】
アクセス制限方法選択手段１０２は、シンクライアント特徴入力手段１０１が受け付けた特徴情報によって示されるシンクライアントシステムの特徴に基づいて、シンクライアントシステムの特徴に応じて予め定められているアクセス制限方法の中から、シンクライアントの特徴に適したアクセス制限方法を選択し、選択したアクセス制限方法をアクセス制限情報生成手段１０３に渡す。即ち、シンクライアントシステムの実装方式や通常端末装置の接続の可否などに応じて予め設定されているアクセス制限方法の中から、アクセス制限対象にするシンクライアントシステムの特徴に適したアクセス制限方法を選択する。
【００２５】
アクセス制限情報生成手段１０３は、アクセス制限方法選択手段１０２から渡されたアクセス制限方法に従ってアクセス制限対象ネットワークに対するアクセス制限を実施するためのアクセス制限情報を生成する。生成したアクセス制限情報は、ルータなどのネットワーク構成機器に設定される。
【００２６】
〔第１の実施例の効果〕
本実施例によれば、シンクライアントシステムの実装方式と通常端末装置の接続の可否とを入力するだけで、シンクライアントシステムの特徴に合ったアクセス制限方法でアクセス制限を行うためのアクセス制限情報を生成することが可能になるという効果を得ることができる。
【００２７】
その理由は、アクセス制限対象ネットワークに対するアクセス制限をどのような方法で実施するのかを示すアクセス制限方法を、シンクライアントシステムの実装方式および通常端末装置の接続可否に応じて予め設定しておき、管理者が入力したシンクライアントシステムの実装方式および通常端末装置の接続可否に適したアクセス制限方法を選択し、選択したアクセス制限方法に従ってアクセス制限対象ネットワークに対するアクセス制限を行うアクセス制限情報を生成するようにしているからである。
【００２８】
〔本発明の第２の実施例〕
次に、本発明の第２の実施例について詳細に説明する。図２を参照すると、本実施例は、アクセス制限情報生成装置１と、シンクライアント管理サーバ２と、ネットワーク構成機器３と、シンクライアント端末装置４と、通常端末装置であるユーザー端末装置５とから構成されている。アクセス制限情報生成装置１、シンクライアント管理サーバ２およびネットワーク構成機器３は、イントラネット等のネットワーク７を介して相互に接続されており、シンクライアント端末装置４およびユーザー端末装置５は、ネットワーク構成機器３を介してネットワーク７にアクセスする。なお、ネットワーク構成機器３には、不正接続端末装置６が接続される可能性がある。
【００２９】
シンクライアント端末装置４は、ネットワーク７に接続する機能、入出力を行う機能などの最低限の機能しか持たない端末装置であり、シンクライアント管理サーバ２で管理されているアプリケーションプログラムやファイルといった資源を利用することにより、ユーザーに対してユーザー端末装置５と同様の機能を提供する。
【００３０】
ユーザー端末５は、パーソナルコンピュータ等の情報処理装置であり、ネットワーク構成機器３を介してネットワーク７にアクセスする機能を備えている。
【００３１】
ネットワーク構成機器３は、ネットワークスイッチやルータによって実現されるものであり、アクセス制限情報生成装置１から送られてきたアクセス制限情報に従って、各端末装置４〜６からネットワーク７へのアクセスを制限する機能を有する。
【００３２】
シンクライアント管理サーバ２は、シンクライアント端末装置４に利用させるアプリケーションプログラムやファイルなどの資源を管理する機能を有する。
【００３３】
アクセス制限情報生成装置１は、管理者によって入力されたシンクライアントシステムの特徴を示す特徴情報と、予め設定されているシンクライアントシステムの特徴に応じたアクセス制限方法とに基づいて、アクセス制限情報を生成し、生成したアクセス制限情報をネットワーク構成機器３に送信する機能を有する。
【００３４】
このような機能を有するアクセス制限情報生成装置１は、シンクライアント特徴入力手段１１と、アクセス制限方法選択手段１２と、アクセス制限情報生成手段１３と、送信手段１４とを備えている。また、アクセス制限情報生成装置１には、キーボード等の入力装置１５と、ＬＣＤ等の表示装置１６と、ディスク装置などの記憶装置１７とが接続されている。
【００３５】
記憶装置１７には、アクセス制限方法記憶部１７１と、アクセス制限情報記憶部１７２とが設けられている。アクセス制限方法記憶部１７１には、シンクライアントシステムの特徴に対応付けて、その特徴を有するシンクライアントシステムに適したアクセス制限方法が登録されている。また、アクセス制限情報記憶部１７２には、アクセス制限情報生成手段１３によって生成されたアクセス制限情報が登録される。
【００３６】
図３はアクセス制限方法記憶部１７１の内容例を示した図である。同図の例の第１番目のエントリは、実装方式が仮想ＰＣ型であるという特徴を有するシンクライアントシステムに適したアクセス制限方法が、ＤＨＣＰプロトコル及びＲＤＰプロトコルによるパケットのみを通過させるフィルタを用いるものであることを示している。また、同図の例の第３番目のエントリは、実装方式が仮想ＰＣ型あるいは画面転送型で、且つ通常端末装置の接続を許可しないという特徴を有するシンクライアントシステムに適したアクセス制限方法が、ネットワーク構成機器３のネットワーク７側のインタフェースの接続先をシンクライアント管理サーバ２のみに制限する方法であることを示している。
【００３７】
シンクライアント特徴入力手段１１は、管理者が入力装置１５を用いて入力した、アクセス制限を行うシンクライアントシステムの特徴を表す特徴情報を受け付ける機能を有する。
【００３８】
アクセス制限方法選択手段１２は、アクセス制限方法記憶部１７１に登録されているアクセス制限方法の中からシンクライアント特徴入力手段１１が受け付けた特徴情報によって示されるシンクライアントシステムの特徴に合ったアクセス制限方法を選択する機能を有する。
【００３９】
アクセス制限情報生成手段１３は、アクセス制限方法選択手段１２で選択されたアクセス制限方法に従ってアクセス制限を行うためのアクセス制限情報を生成し、生成したアクセス制限情報をアクセス制限情報記憶部１７２に登録する機能を有する。
【００４０】
送信手段１４は、アクセス制限情報記憶部１７２に登録されているアクセス制限情報を、ネットワーク７を介してネットワーク構成機器３に送信する機能を有する。
【００４１】
このような機能を有するアクセス制限情報生成装置１は、コンピュータにより実現可能であり、コンピュータによって実現する場合は、例えば、次のようにする。コンピュータをアクセス制限情報生成装置１として機能させるためのプログラムを記録したディスク、半導体メモリ、その他の記録媒体を用意し、コンピュータに上記プログラムを読み取らせる。コンピュータは、読み取ったプログラムに従って自身の動作を制御することにより、自コンピュータ上に、シンクライアント特徴入力手段１１、アクセス制限方法選択手段１２、アクセス制限情報生成手段１３および送信手段１４を実現する。
【００４２】
〔第２の実施例の動作の説明〕
次に本実施例の動作について詳細に説明する。
【００４３】
先ず、図４のフローチャートに示すように、管理者が入力装置１５からアクセス制限情報生成装置１に対して、アクセス制限を行うシンクライアントシステムの特徴を示す特徴情報を入力する（ステップＡ１）。この特徴情報は、シンクライアント特徴入力手段１１によって受け付けられる。
【００４４】
ここで、ステップＡ１で入力する特徴情報について説明する。シンクライアントシステムには、ネットワークブート型、画面転送型、仮想ＰＣ型などの様々な実装方式が存在する。更に、シンクライアント端末装置４のみの接続を許可するものもあれば、通常端末装置であるユーザー端末装置５の接続も許可するものもある。更に、端末装置の個体認証を実施するものもあれば、実施しないものもある。更に、ネットワーク認証を実施するものもあれば、実施しないものもある。
【００４５】
そこで、本実施例では、ステップＡ１において、次の各情報を含んだ特徴情報を入力する。
【００４６】
・実装方式情報…実装方式がネットワークブート型、画面転送型あるいは仮想ＰＣ型の何れであるかを示す情報。
・実装制限情報…実装方式に応じたアクセス制限を実施するか否かを示す情報。
・接続可否情報…ユーザー端末装置（通常端末装置）の接続を許可するか否かを示す情報。
・個体認証有無情報…端末装置の個体認証を実施するか否かを示す情報。
・ネットワーク認証有無情報…ネットワーク認証を行うか否かを示す情報。
【００４７】
なお、特徴情報の入力方法としては種々の方法を採用することができ、例えば、対話形式で入力する方法や、選択形式で入力する方法などを採用することができる。
【００４８】
その後、ステップＡ１において入力された特徴情報に基づいて、アクセス制限方法選択手段１２およびアクセス制限情報生成手段１３が、次のような処理を行う。
【００４９】
先ず、アクセス制限方法選択手段１２は、シンクライアント特徴入力手段１１が受け付けた特徴情報から認識されるシンクライアントシステムの特徴に基づいて、アクセス制限の対象にするシンクライアントシステムが個体認証を実施するものであるか否かを判定する（ステップＡ２）。
【００５０】
そして、個体認証を実施するものであると判定した場合（ステップＡ２がＹｅｓ）は、次のような処理を行う。
【００５１】
先ず、アクセス制限方法選択手段１２は、表示装置１６にメッセージを表示することにより、管理者に対してネットワーク７への接続（アクセス）を許可する端末装置の機器固有情報のリストを要求する。なお、本実施例では、機器固有情報としてＭＡＣアドレスを使用するが、これに限られるものではなく、ＩＰアドレスなどを使用することもできる。その後、アクセス制限方法選択手段１２は、アクセス制限方法記憶部１７１から特徴「個体認証を実施」に対応付けて登録されているアクセス制限方法「ＭＡＣアドレスフィルタを生成」を取り出す。その後、管理者によって、ネットワーク７への接続を許可する端末装置のＭＡＣアドレスのリストが入力されると、リストとアクセス制限方法とをアクセス制限情報生成手段１３に渡す。アクセス制限情報生成手段１３では、アクセス制限方法選択手段１２から渡されたリストおよびアクセス制限方法に従って、アクセス制限情報として、上記リストに載っているＭＡＣアドレスを送信元とするパケットのみを通過させるＭＡＣアドレスフィルタを生成し、生成したＭＡＣアドレスフィルタをアクセス制限情報記憶部１７２に登録する（ステップＡ３）。
【００５２】
その後、アクセス制限方法選択手段１２はシンクライアント特徴入力手段１１が受け付けた特徴情報に基づいて、アクセス制限の対象にするシンクライアントシステムが実装方式に応じたアクセス制限を実施するものであるか否かを判定する（ステップＡ４）。
【００５３】
そして、実装方式に応じたアクセス制限を実施しないものである場合（ステップＡ４がＮｏ）は、送信手段１４に対してアクセス制限情報の送信を指示する。この指示に従って、送信手段１４は、アクセス制限情報記憶部１７２に登録されているアクセス制限情報をネットワーク構成機器３へ送信する（図５のステップＡ１５）。
【００５４】
これに対して、実装方式に応じたアクセス制限を実施するものである場合（ステップＡ４がＹｅｓ）は、シンクライアント特徴入力手段１１が受け付けた特徴情報に基づいて、アクセス制限の対象にしているシンクライアントシステムの実装方式を判定する（ステップＡ５）。
【００５５】
そして、実装方式が仮想ＰＣ型である場合は、アクセス制限方法記憶部１７１から特徴「実装方式が仮想ＰＣ型」に対応付けて登録されているアクセス制限方法「ＤＨＣＰプロトコルおよびＲＤＰプロトコルによるパケットのみの通過を許可するフィルタの生成」を取り出し、取り出したアクセス制限方法をアクセス制限情報生成手段１３に渡す。これにより、アクセス制限情報生成手段１３は、アクセス制限情報として、ＤＨＣＰプロトコルおよびＲＤＰプロトコルによるパケットのみを通過させるフィルタを生成し、生成したフィルタをアクセス制限情報記憶部１７２に登録する（ステップＡ６）。即ち、実装方式が仮想ＰＣ型のシンクライアントシステムにおいては、シンクライアント端末装置４とシンクライアント管理サーバ２との間の情報のやり取りはＲＤＰプロトコルを用いて行われ、また、シンクライアント端末装置４がネットワーク７にアクセスするために必要になるＩＰアドレスはＤＨＣＰプロトコルを利用して獲得するケースが多いため、ＤＨＣＰプロトコルおよびＲＤＰプロトコルによるパケットのみを通過させるフィルタを生成する。
【００５６】
また、実装方式が画面転送型である場合は、アクセス制限方法記憶部１７１から特徴「実装方式が画面転送型」に対応付けて登録されているアクセス制限方法「ＤＨＣＰプロトコルおよびＩＣＡプロトコルによるパケットのみの通過を許可するフィルタを生成」を取り出し、アクセス制限情報生成手段１３に渡す。これにより、アクセス制限情報生成手段１３は、アクセス制限情報として、ＤＨＣＰプロトコルおよびＩＣＡプロトコルによるパケットのみを通過させるフィルタを生成し、生成したフィルタをアクセス制限情報記憶部１７２に登録する（ステップＡ７）。即ち、実装方式が画面転送型のシンクライアントシステムにおいては、シンクライアント端末装置４とシンクライアント管理サーバ２との間の情報のやり取りはＩＣＡプロトコルを用いて行われ、また、シンクライアント端末装置４がネットワーク７にアクセスするために必要になるＩＰアドレスはＤＨＣＰプロトコルを利用して獲得するケースが多いため、ＤＨＣＰプロトコルおよびＩＣＡプロトコルによるパケットのみを通過させるフィルタを生成する。
【００５７】
実装方式が仮想ＰＣ型あるいは画面転送型であった場合には、ステップＡ６、Ａ７が終了した後、アクセス制限方法選択手段１２は、シンクライアント特徴入力手段１１が受け付けた特徴情報に基づいて、アクセス制限の対象にしているシンクライアントシステムは、ユーザー端末装置の接続を許可しているものか否かを判定する（図５のステップＡ８）。
【００５８】
そして、ユーザー端末装置（通常端末装置）の接続を許可していない場合（ステップＡ８がＮｏ）は、アクセス制限方法記憶部１７１から特徴「実装方式が仮想ＰＣ型あるいは画面転送型で、且つ通常端末装置の接続が不可」に対応付けて登録されているアクセス制限方法「ネットワーク構成機器３のネットワーク７側のインタフェースの接続先をシンクライアント管理サーバ２に制限するフィルタを生成」を取り出し、アクセス制限情報生成手段１３に渡す。アクセス制限情報生成手段１３では、渡されたアクセス制限方法に従って、アクセス制限情報として、ネットワーク構成機器３のネットワーク７側のインタフェースの接続先をシンクライアント管理サーバ２に制限するフィルタを生成し、生成したフィルタをアクセス制限情報記憶部１７２に登録する（ステップＡ１２）。このステップＡ１２で生成したアクセス制限情報を用いてアクセス制限を行った場合、シンクライアント端末装置４以外の端末装置（ユーザー端末装置５や不正接続端末装置６）もシンクライアント管理サーバ２に接続されることになるが、シンクライアント管理サーバ２において実施されるシンクライアント認証処理においてシンクライアント端末装置４以外は正しいシンクライアント認証情報を送信することができないので、接続が拒否されることになる。
【００５９】
これに対して、ユーザー端末装置の接続が許可されている場合（ステップＡ８がＹｅｓ）は、シンクライアント特徴入力手段１１が受け付けた特徴情報に基づいて、アクセス制限の対象にするシンクライアントシステムが、ユーザー端末装置だけでなく、シンクライアント端末装置についてもネットワーク認証を行うものであるか否かを判定する（ステップＡ９）。そして、シンクライアント端末装置およびユーザー端末装置に対してネットワーク認証を行うものであると判定した場合（ステップＡ９がＹｅｓ）は、アクセス制限方法記憶部１７１から特徴「実装方式が仮想ＰＣ型あるいは画面転送型、通常端末装置の接続を許可、シンクライアント端末装置および通常端末装置に対してネットワーク認証を実施」に対応付けて登録されているアクセス制限方法「ネットワーク構成機器３の端末接続ポートにネットワーク認証ポートを設定。認証失敗時にはアクセス拒否(Reject)。」を取り出し、アクセス制限情報生成手段１３に渡す。アクセス制限情報生成手段１３では、渡されたアクセス制限方法に従って、ネットワーク構成機器３の端末接続ポートにネットワーク認証ポートを設定し、認証失敗時にはアクセスを拒否するためのアクセス制限情報を生成し、生成したアクセス制限情報をアクセス制限情報記憶部１７２に登録する（ステップＡ１０）。
【００６０】
また、ステップＡ９において、アクセス制限の対象にするシンクライアントシステムが、シンクライアント端末装置４に対してはネットワーク認証を行わないものであると判定した場合（判定結果がＮｏの場合）は、アクセス制限方法記憶部１７１から特徴「実装方式が仮想ＰＣ型あるいは画面転送型、通常端末装置の接続を許可、通常端末装置に対してネットワーク認証を実施」に対応付けて登録されているアクセス制限方法「ネットワーク構成機器３の端末接続ポートにネットワーク認証ポートを設定。ネットワーク認証失敗時にはＤｅｆａｕｌｔ ＶＬＡＮに接続。」を取り出し、アクセス制限情報生成手段１３に渡す。アクセス制限情報生成手段１３では、渡されたアクセス制限方法に従って、ネットワーク構成機器３の端末接続ポートにネットワーク認証ポートを設定し、ネットワーク認証失敗時には端末装置をＤｅｆａｕｌｔ ＶＬＡＮに接続させるためのアクセス制限情報を生成し、生成したアクセス制限情報をアクセス制限情報記憶部１７２に格納する（ステップＡ１１）。
【００６１】
Ｄｅｆａｕｌｔ ＶＬＡＮとは、ネットワーク認証が失敗した端末装置にもネットワーク構成機器３を越えたネットワークアクセス（シンクライアント管理サーバ２に対するアクセス）を許可するために用意するＶＬＡＮであり、アクセスできる範囲が制限されたＶＬＡＮである。ネットワーク認証に失敗した端末装置をＤｅｆａｕｌｔ ＶＬＡＮに接続するのは、次の理由からである。ステップＡ１１で生成されたアクセス制限情報に従ってネットワーク構成機器３の端末接続ポートにネットワーク認証ポートを設定するようにすると、シンクライアント端末装置４についてはネットワーク認証を行わないシンクライアントシステム（シンクライアント端末装置４がネットワーク認証を行うための構成を備えていないシンクライアントシステム）では、不正接続端末装置６だけでなく、シンクライアント端末装置４もネットワーク認証に失敗してしまう。従って、ネットワーク認証失敗時にアクセスを拒否するようにすると、シンクライアント端末装置４がシンクライアント管理サーバ２をアクセスできなくなってしまう。そこで、シンクライアント端末装置４がシンクライアント管理サーバ２をアクセスできるようにするため、Ｄｅｆａｕｌｔ ＶＬＡＮに接続するようにしている。なお、不正接続端末装置６もＤｅｆａｕｌｔ ＶＬＡＮに接続されることにより、シンクライアント管理サーバ２をアクセスすることができるようになるが、シンクライアント管理サーバ２が行うシンクライアント認証処理によって接続が拒否される。
【００６２】
次に、図４のステップＡ５において、アクセス制限の対象にするシンクライアントシステムの実装方式がネットワークブート型であると判定された場合の動作について説明する。この場合、アクセス制限方法選択手段１２は、シンクライアント特徴入力手段１１が受け付けた特徴情報に基づいて、アクセス制限の対象にしているシンクライアントシステムがネットワーク認証を行うものであるか否かを判定する（図５のステップＡ１３）。
【００６３】
そして、ネットワーク認証を行わないと判定した場合（ステップＡ１３がＮｏ）は、送信手段１４に対して送信指示を出力する。これにより、送信手段１４は、アクセス制限情報記憶部１７２に登録されているアクセス制限情報をネットワーク構成機器３へ送信する（ステップＡ１５）。
【００６４】
これに対して、ネットワーク認証を行うと判定した場合（ステップＡ１３がＹｅｓ）は、アクセス制限方法記憶部１７１から特徴「実装方式がネットワークブート型で、且つネットワーク認証を行う。」に対応付けて登録されているアクセス制限方法「ネットワーク構成機器３の端末接続ポートにネットワーク認証ポートを設定。ネットワーク認証失敗時にはＤｅｆａｕｌｔ ＶＬＡＮに接続。Ｄｅｆａｕｌｔ ＶＬＡＮではネットワークブートのためのポートを開く。」を取り出し、アクセス制限情報生成手段１３に渡す。アクセス制限情報生成手段１３では、上記アクセス制限方法に従って、「ネットワーク構成機器３の端末接続ポートにネットワーク認証ポートを設定し、アクセス認証失敗時にはＤｅｆａｕｌｔ ＶＬＡＮに接続させ、Ｄｅｆａｕｌｔ ＶＬＡＮではネットワークブートのために必要なポート（ＤＨＣＰ、ＰＸＥなど）を開く」ためのアクセス制限情報を生成し、アクセス制限情報記憶部１７２に登録する（ステップＡ１４）。そして、ステップＡ１４の処理が終了すると、アクセス制限情報生成手段１３は、送信手段１４に対して送信指示を出力する。これにより、送信手段１４は、アクセス制限情報記憶部１７２に登録されているアクセス制限情報をネットワーク構成機器３へ送信する（ステップＡ１５）。なお、ステップＡ１０〜Ａ１２が終了した場合も、アクセス制限情報生成手段１３は、送信手段１４に対して送信指示を出力し、アクセス制限情報記憶部１７２に登録されているアクセス制限情報をネットワーク構成機器３へ送信させる。
【００６５】
ネットワーク構成機器３は、アクセス制限情報生成装置１から送られきたアクセス制限情報を自機器３の設定に反映させ、シンクライアントシステムの特徴に合った不正アクセス防止環境を構築する（ステップＡ１６）。
【００６６】
次に、図６を参照し、ネットワーク構成機器３が図４のステップＡ３で生成されたＭＡＣアドレスフィルタを利用してアクセス制限を行う場合の動作について説明する。
【００６７】
利用者がシンクライアント端末装置４を操作し、シンクライアント管理サーバ２への接続を試みることにより、シンクライアント端末装置４から通信パケットが送出される（ステップＢ１）。
【００６８】
ネットワーク構成機器３は、シンクライアント端末装置４から通信パケットが送られてくると、通信パケットから個体認証を行うために必要な情報（本実施例では、送信元のＭＡＣアドレス）を抽出する。その後、抽出したＭＡＣアドレスと、ステップＡ３で生成されたＭＡＣアドレスフィルタとに基づいて、シンクライアント端末装置４の接続を許可するか否かを判定する（ステップＢ２）。そして、シンクライアント端末装置４が接続可能な端末装置であると判定すると（ステップＢ２がＹｅｓ）、ネットワーク構成機器３はシンクライアント管理サーバ２に対して接続要求を送信し（ステップＢ３）、これによりシンクライアント管理サーバ２はシンクライアント端末装置４と接続する（ステップＢ４）。これで、シンクライアント端末装置４は、ネットワーク構成機器３を通してネットワーク７へのアクセスが可能となる。
【００６９】
次に、接続が許可されていない不正接続端末装置６がネットワーク構成機器３に接続された場合について説明する。
【００７０】
利用者が不正接続端末装置６を操作し、ネットワーク７へのアクセスを試みることにより、不正接続端末装置６から通信パケットが送出される（ステップＢ５）。
【００７１】
ネットワーク構成機器３は、不正接続端末装置６から送られてきた通信パケットから、個体認証を行うために必要となる情報（ＭＡＣアドレス）を抽出し、このＭＡＣアドレスとＭＡＣアドレスフィルタとに基づいて、不正接続端末装置６が接続を許可する端末装置であるか否かを判定する（ステップＢ６）。そして、不正接続端末装置６は接続を許可しない端末装置であると判定すると（ステップＢ６がＮｏ）、不正接続端末装置６の接続を拒否する（ステップＢ７）。以上の動作により、シンクライアント端末装置４はネットワーク７へのアクセスが許可され、不正接続端末装置６はネットワーク７へのアクセスが拒否されることになる。
【００７２】
次に、図７および図８を参照し、ネットワーク構成機器３が図５のステップＡ１０で生成されたアクセス制限情報に従ってアクセス制限を行う場合の動作を説明する。
【００７３】
利用者がシンクライアント端末装置４をネットワーク構成機器３に接続すると（ステップＣ１）、ネットワーク構成機器３は、シンクライアント端末装置4に対してネットワーク認証を行うために必要な情報を要求する（ステップＣ２）。
【００７４】
これにより、シンクライアント端末装置４は、ネットワーク認証に必要な情報（認証情報）をネットワーク構成機器３へ送信する（ステップＣ３）。この認証情報は、ネットワーク構成機器３を介して図示を省略したネットワーク認証サーバに送られ、ネットワーク認証が行われる。
【００７５】
ネットワーク構成機器３は、ネットワーク認証サーバによるネットワーク認証が成功すると（ステップＣ４がＹｅｓ）、シンクライアント端末装置４が接続されている通信ポートを開く（ステップＣ５）。これにより、シンクライアント端末装置４は、ネットワーク構成機器３を超えた通信が可能となる（ステップＣ６）。
【００７６】
次に、接続が許可されているユーザー端末装置５をネットワーク構成機器３に接続した場合の動作を説明する。
【００７７】
利用者がユーザー端末装置５をネットワーク構成機器３に接続すると（ステップＣ７）、ネットワーク構成機器３はユーザー端末装置５に対して認証情報を要求する（ステップＣ８）。これにより、ユーザー端末装置５は、認証情報をネットワーク構成機器３へ送信する（ステップ９）。この認証情報はネットワーク構成機器３を介してネットワーク認証サーバへ送られ、ネットワーク認証処理が行われる。
【００７８】
ネットワーク構成機器３は、ネットワーク認証サーバによる認証が成功すると（ステップＣ１０がＹｅｓ）、ユーザー端末装置５に接続されている通信ポートを開く（ステップＣ１１）。これにより、ユーザー端末装置５はネットワーク７を越えた通信を行うことが可能になる。
【００７９】
次に、接続が許可されていない不正接続端末装置６がネットワーク構成機器３に接続した場合の動作について説明する。
【００８０】
利用者が、不正接続端末装置６をネットワーク構成機器３に接続すると（図８のステップＣ１２）、ネットワーク構成機器３は不正接続端末装置６に対して認証情報を要求する（ステップＣ１３）。しかし、不正接続端末装置６は認証情報を送信することができない（ステップＣ１４）。そのため、ネットワーク構成機器３では、ネットワーク認証が失敗したと判定する（ステップＣ１５）。ネットワーク認証が失敗した場合には、不正接続端末装置６が接続されている通信ポートを遮断する（ステップＣ１６）。これにより、不正接続端末装置６は、ネットワーク構成機器３を越えた通信ができない。
【００８１】
以上の動作によりシンクライアント端末装置４およびユーザー端末装置５はネットワーク７へのアクセスが許可され、不正接続端末装置６はネットワーク７へのアクセスが拒否されることになる。
【００８２】
〔第２の実施例の効果〕
本実施例によれば、第１の実施例で得られる効果に加え、ネットワーク構成機器３に容易にアクセス制限情報を設定することができるという効果を得ることができる。その理由は、アクセス制限情報生成手段１３で生成されたアクセス制限情報をネットワーク構成機器３へ送信する送信手段１４を備えているからである。
【００８３】
〔本発明の第３の実施例〕
次に、本発明の第３の実施例について詳細に説明する。本実施例は、個体認証によるアクセス制限を実施する場合に必要になる、接続を許可する端末装置の機器固有情報（ＭＡＣアドレスなど）を管理者が１個ずつ入力するのではなく、ネットワーク構成機器においてネットワーク７に接続した端末装置の機器固有情報を全て収集しておき、その中から管理者が接続を許可する端末装置の機器固有情報を選択するようにしたことを特徴とする。
【００８４】
図９は本発明の第３の実施例の構成例を示すブロック図であり、図２に示した第２の実施例との相違点は、アクセス制限情報生成装置１、ネットワーク構成機器３の代わりにアクセス制限情報生成装置１ａ、ネットワーク構成機器３ａを備えている点である。
【００８５】
アクセス制限情報生成装置１ａは、収集要求送信手段１８が追加されている点、アクセス制限方法選択手段１２の代わりにアクセス制限方法選択手段１２ａを備えている点、送信手段１４の代わりに送受信手段１４ａを備えている点がアクセス制限情報生成装置１と相違している。
【００８６】
収集要求送信手段１８は、入力装置１５から入力される管理者の指示に従って、機器固有情報の収集要求をネットワーク構成機器３ａに送信する機能を有している。
【００８７】
送受信手段１４ａは、ネットワーク構成機器３ａから送られてきた機器固有情報をアクセス制限方法選択手段１２ａに渡す機能を備えている点が、送信手段１４と相違している。
【００８８】
アクセス制限方法選択手段１２ａは、機器固有情報の取得要求をネットワーク構成機器３ａに対して送信する機能、送受信手段１４ａから渡された機器固有情報を表示装置１６に表示する機能、および表示した機器固有情報の内の、管理者によって選択された機器固有情報のリストをアクセス制限情報生成手段１３に渡す機能を有している点がアクセス制限方法選択手段１２と相違している。
【００８９】
ネットワーク構成機器３ａは、機器固有情報収集手段３１を備えている点がネットワーク構成機器３と相違している。
【００９０】
機器固有情報収集手段３１は、アクセス制限情報生成装置１ａから機器固有情報の収集要求が送られてくることにより、機器固有情報の収集処理を開始し、ネットワーク７に接続した端末装置の機器固有情報（例えば、ＭＡＣアドレス）を収集する機能を有する。更に、機器固有情報収集手段３１は、アクセス制限情報生成装置１ａから機器固有情報の取得要求が送られてくることにより、機器固有情報の収集処理を終了し、収集してある機器固有情報をアクセス制限情報生成装置１ａへ送信する機能を有する。
【００９１】
なお、アクセス制限情報生成装置１ａもアクセス制限情報生成装置１と同様にコンピュータによって実現可能である。
【００９２】
〔第３の実施例の動作の説明〕
次に、本実施例の動作について説明する。
【００９３】
先ず、機器固有情報の収集処理について説明する。
【００９４】
管理者は、機器固有情報の収集処理を開始させる場合、入力装置１５から収集要求の送信指示を入力する。これにより、図１０のフローチャートに示すように、収集要求送信手段１８がネットワーク構成機器３ａへ機器固有情報の収集要求を送信する（ステップＤ１）。
【００９５】
ネットワーク構成機器３ａ内の機器固有情報収集手段３１は、機器固有情報の収集要求が送られてくると、機器固有情報の収集処理を開始し、ネットワーク７をアクセスする端末装置が現れる毎に（ステップＤ２、Ｄ４、Ｄ６）、端末装置の機器固有情報（例えば、ＭＡＣアドレス）を収集し、収集した機器固有情報をネットワーク構成機器３ａ内の記憶装置（図示せず）に登録する（ステップＤ３、Ｄ５、Ｄ７）。その際、収集した機器固有情報が既に登録済みか否かを調べ、登録済みである場合には、登録処理を行わないようにしても良い。
【００９６】
次に、アクセス制限情報生成時の動作について説明する。本実施例と前述した第２の実施例とでは、図４のステップＡ３で行う処理が異なるだけであるので、この点についてのみ説明する。
【００９７】
本実施例では、ステップＡ３の代わりに、図１１のフローチャートに示す処理を行う。アクセス制限方法選択手段１２ａは、シンクライアント特徴入力手段１１が受け付けた特徴情報に基づいて、アクセス制限の対象にしているシンクライアントシステムが、個体認証を行うものであると判定した場合は、図１１に示すように、ネットワーク構成機器３ａに対して機器固有情報の取得要求を送信する（ステップＥ１）。
【００９８】
ネットワーク構成機器３ａ内の機器固有情報収集手段３１は、機器固有情報の取得要求を受信すると、記憶装置に保存している機器固有情報をアクセス制限情報生成装置１ａに送信する（ステップＥ２）。
【００９９】
アクセス制限情報生成装置１ａ内の送受信手段１４ａは、ネットワーク構成機器３ａから機器固有情報が送られてくると、それをアクセス制限方法選択手段１２ａに渡し、アクセス制限方法選択手段１２ａは、送受信手段１４ａから渡された機器固有情報を全て表示装置１６に表示する（ステップＥ３）。その際、機器固有情報をソートして表示するようにしても良い。
【０１００】
管理者は、表示装置１６に機器固有情報が表示されると、その中からネットワーク７へのアクセスを許可する端末装置の機器固有情報を選択する。
【０１０１】
アクセス制限方法選択手段１２ａは、管理者によってネットワーク７への接続を許可する端末装置の機器固有情報が選択されると、図３に示すアクセス制限方法記憶部１７１から特徴「個体認証を実施」に対応付けて登録されているアクセス制限方法「ＭＡＣアドレスフィルタを生成」を取得し、取得したアクセス制限方法と管理者によって選択された機器固有情報（ＭＡＣアドレス）のリストとをアクセス制限情報生成手段１３に渡す。アクセス制限情報生成手段１３では、アクセス制限方法選択手段１２ａから渡されたアクセス制限方法およびＭＡＣアドレスのリストに従って、アクセス制限情報として、上記リストに載っているＭＡＣアドレスを送信元とするパケットのみを通過させるフィルタを生成し、生成したフィルタをアクセス制限情報記憶部１７２に格納する（ステップＥ４）。以上が、ステップＡ３の代わりに、本実施例で行う処理である。
【０１０２】
〔第３の実施例の効果〕
本実施例によれば、第１、第２の実施例で得られる効果に加え、個体認証を行うシンクライアントシステムに対するアクセス制限情報を容易に生成することが可能になるという効果を得ることができる。その理由は、ネットワーク７に接続した端末装置の機器固有情報を収集する機器固有情報収集手段３１をネットワーク構成機器３が備え、機器固有情報収集手段３１で収集された機器固有情報の中からネットワーク７へのアクセスを許可する端末装置の機器固有情報を選択するようにしているからである。
【０１０３】
〔本発明の第４の実施例〕
次に、本発明の第４の実施例について説明する。本実施例は、シンクライアントシステムの特徴を入力するだけで、そのシンクライアントシステムを利用する上での注意点や、実施可能なアクセス制限方法などを、管理者に提示できるようにした点を特徴とする。
【０１０４】
図１２は本発明の第４の実施例のブロック図であり、図２に示した第２の実施例との相違点は、アクセス制限情報生成装置１の代わりにアクセス制限情報生成装置１ｂを備えている点である。
【０１０５】
アクセス制限情報生成装置１ｂは、アドバイス手段１９を備えている点、および記憶装置１７内にアドバイス情報記憶部１７３が設けられている点が図２に示した第２の実施例と相違している。
【０１０６】
アドバイス情報記憶部１７３には、シンクライアントシステムの特徴に対応付けて、表示すべきアドバイス情報が格納されている。アドバイス手段１９は、管理者によって入力されたシンクライアントシステムの特徴に応じた注意点や実施可能なアクセス制限方法などを表示装置１６に表示する機能を有する。
【０１０７】
なお、アクセス制限情報生成装置１ｂもアクセス制限情報生成装置１と同様にコンピュータによって実現可能である。
【０１０８】
〔第４の実施例の動作の説明〕
次に、本実施例の動作について詳細に説明する。
【０１０９】
管理者は導入済みのシンクライアントや、導入予定のシンクライアントに関する注意点などを知りたい場合、アクセス制限情報生成装置１ｂの動作モードをアドバイスモードにし、アドバイスを受けたいシンクライアントシステムの特徴を表す特徴情報を入力装置１５から入力する（図１３のステップＦ１）。シンクライアント特徴入力手段１１は、動作モードがアドバイスモードになっている場合は、入力装置１５から入力された特徴情報をアドバイス手段１９に渡す。なお、ステップＦ１で入力する特徴情報の具体的な内容は、第２の実施例と同様である。
【０１１０】
アドバイス手段１９は、シンクライアント特徴入力手段１１からアドバイスを行うシンクライアントシステムの特徴情報が入力されると、それに基づいてアドバイス対象にするシンクライアントシステムの実装方式を判定する（ステップＦ２）。
【０１１１】
そして、実装方式が画面転送型であると判定した場合は、アドバイス情報記憶部１７３から特徴「実装方式が画面転送型」に対応付けて登録されているアドバイス情報「ＤＨＣＰプロトコルおよびＩＣＡプロトコルによるパケットのみを通過させるフィルタによりアクセス制限を実施できる」を取り出し、表示装置１６に表示する（ステップＦ３）。
【０１１２】
また、実装方式が仮想ＰＣ型であると判定した場合は、アドバイス情報記憶部１７３から特徴「実装方式が仮想ＰＣ型」に対応付けて登録されているアドバイス情報「ＤＨＣＰプロトコルおよびＲＤＰプロトコルによるパケットのみを通過させるフィルタによりアクセス制限を実施できる」を取り出し、表示装置１６に表示する（ステップＦ４）。
【０１１３】
また、実装方式がネットワークブート型であると判定した場合は、アドバイス情報記憶部１７３から特徴「実装方式がネットワークブート型」に対応付けて登録されているアドバイス情報「プロトコルによるアクセス制限は殆ど実施することができない」を取り出し、表示装置１６に表示する（ステップＦ５）。即ち、ネットワークブート型のシンクライアント端末装置は、ネットワークブート後にはユーザー端末装置と同様の動作を行い、プロトコルによるアクセス制限を行うことが難しいため、上記した表示を行う。
【０１１４】
シンクライアントシステムの実装方式が画面転送型あるいは仮想ＰＣ型であった場合には、ステップＦ３、Ｆ４の処理を行った後、シンクライアント特徴入力手段１１から渡された特徴情報に基づいて、ユーザー端末装置５の接続が許可されているか否かを判定する（ステップＦ６）。
【０１１５】
そして、ユーザー端末装置５の接続が許可されていない場合（ステップＦ６がＮｏ）は、アドバイス情報記憶部１７３から特徴「ユーザー端末装置５の接続が許可されていない」に対応付けて登録されているアドバイス情報「ネットワーク構成機器３のネットワーク７側のインタフェースの接続先をシンクライアント管理サーバ２のみに制限することができる。」を取り出し、表示装置１６に表示する（ステップＦ７）。
【０１１６】
これに対して、ユーザー端末装置５の接続が許可されている場合（ステップＦ６がＹｅｓ）は、シンクライアント特徴入力手段１１から渡された特徴に基づいて、アドバイス対象にしているシンクライアントが、ユーザー端末装置５だけでなく、シンクライアント端末装置４についてもネットワーク認証を実施するものであるか否かを判定する（ステップＦ８）。
【０１１７】
そして、シンクライアント端末装置４についてもネットワーク認証を実施するものであると判定した場合（ステップＦ８がＹｅｓ）は、アドバイス情報記憶部１７３から特徴「実装方式が画面転送型あるいは仮想ＰＣ型で、且つシンクライアント端末装置についてもネットワーク認証を実施する」に対応付けて登録されているアドバイス情報「ネットワーク構成機器３の接続ポートをネットワーク認証ポートに設定し、ネットワーク認証失敗時は端末アクセスを拒否する設定を行うことによりアクセス制限を行うことができる。」を取り出し、表示装置１６に表示する（ステップＦ９）。
【０１１８】
これに対して、シンクライアント端末装置４についてはネットワーク認証を実施しないものであると判定した場合（ステップＦ８がＮｏ）は、アドバイス情報記憶部１７３から特徴「実装方式が画面転送型あるいは仮想ＰＣ型で、且つシンクライアント端末装置についてはネットワーク認証を実施しない」に対応付けて登録されているアドバイス情報「ネットワーク構成機器３の接続ポートをネットワーク認証ポートに設定し、ネットワーク認証失敗時は接続端末装置をＤｅｆａｕｌｔ ＶＬＡＮに接続させる設定を行うことによりアクセス制限を行うことができる。」を取り出し、表示装置１６に表示する（ステップＦ１０）。
【０１１９】
また、アドバイス対象にしているシンクライアントシステムの実装方式がネットワークブート型であった場合は、ステップＦ５の処理を行った後、シンクライアント特徴入力手段１１から渡された特徴に基づいて、アドバイス対象にしているシンクライアントシステムがネットワーク認証を行うものであるか否かを判定する（ステップＦ１１）。
【０１２０】
そして、ネットワーク認証を実施するものであると判定した場合（ステップＦ１１がＹｅｓ）は、アドバイス情報記憶部１７３から特徴「実装方式がネットワークブート型で、且つネットワーク認証を行う」に対応付けて登録されているアドバイス情報「ネットワーク構成機器３の接続ポートをネットワーク認証ポートに設定し、ネットワーク認証失敗時はＤｅｆａｕｌｔ ＶＬＡＮに接続させ、Ｄｅｆａｕｌｔ ＶＬＡＮでは、ネットワークブートのために必要なポート（ＤＨＣＰ、ＰＸＥ等）を開く設定を行えばよい。」を取り出し、表示装置１６に表示する（ステップＦ１２）。
【０１２１】
これに対して、ネットワーク認証を実施しないものであると判定した場合（ステップＦ１１がＮｏ）は、アドバイス情報記憶部１７３から特徴「実装方式がネットワークブート型で、且つネットワーク認証を実施しない。」に対応付けて登録されているアドバイス情報「ネットワーク認証をさせない場合には、この環境は不正接続のリスクが高い。」を取り出し、表示装置１６に表示する（ステップＦ１３）。
【０１２２】
最後に、ＭＡＣアドレス等の機器固有情報収集し、接続を許可する端末の機器固有情報を登録することにより、アクセス制限ができることを表示装置１６に表示する（ステップＦ１４）。
【０１２３】
〔第４の実施例の効果〕
本実施例によれば、第１、第２の実施例で得られる効果に加え、利用者が導入済みのシンクライアントシステムや、導入予定にしているシンクライアントシステムを運用する上での注意点や、実施可能なアクセス制限方法などを容易に知ることができるという効果を得ることができる。その理由は、クライアントシステムの実装方式および通常端末装置の接続可否に応じて予め設定されている注意点および実施可能なアクセス制限方法を含むアドバイス情報中から、シンクライアント特徴入力手段１１が認識しているシンクライアントシステムの実装方式および通常端末装置の接続可否に応じたアドバイス情報を選択し、選択したアドバイス情報を表示装置に表示するアドバイス手段１９を備えているからである。
【産業上の利用可能性】
【０１２４】
本発明は、シンクライアントシステムの不正アクセス防止に適用することができる。
【図面の簡単な説明】
【０１２５】
【図１】本発明の第１の実施例の構成例を示すブロック図である。
【図２】本発明の第２の実施例の構成例を示すブロック図である。
【図３】アクセス制限方法記憶部１７１の内容例を示す図である。
【図４】アクセス制限情報生成装置１の処理例の一部を示すフローチャートである。
【図５】アクセス制限情報生成装置１の処理例の残りの部分を示すフローチャートである。
【図６】個体認証によるアクセス制限を実施した場合の動作を示す図である。
【図７】ネットワーク認証によるアクセス制限を実施した場合の動作（ネットワーク認証成功時）を説明する図である。
【図８】ネットワーク認証によるアクセス制限を実施した場合の動作（ネットワーク認証失敗時）の動作を説明するための図である。
【図９】本発明の第３の実施例の構成例を示すブロック図である。
【図１０】機器固有情報収集時の動作を示す図である。
【図１１】機器固有情報（ＭＡＣアドレス）を利用したアクセス制限情報を生成する際の動作を示す図である。
【図１２】本発明の第４の実施例の構成例を示すブロック図である。
【図１３】アクセス制限情報生成装置１ｂの処理例を示すフローチャートである。
【符号の説明】
【０１２６】
１、１ａ、１ｂ、１００…アクセス制限情報生成装置
１１、１０１…シンクライアント特徴入力手段
１２、１２ａ、１０２…アクセス制限方法選択手段
１３、１０３…アクセス制限情報生成手段
１４…送信手段
１４ａ…送受信手段
１５…入力装置
１６…表示装置
１７…記憶装置
１７１…アクセス制限方法記憶部
１７２…アクセス制限情報記憶部
１７３…アドバイス情報記憶部
１８…収集要求送信手段
１９…アドバイス手段
２…シンクライアント管理サーバ
３、３ａ…ネットワーク構成機器
３１…機器固有情報収集手段
４…シンクライアント端末装置
５…ユーザー端末装置
６…不正接続端末装置
【特許請求の範囲】
【請求項１】
入力装置から入力されたシンクライアントシステムの実装方式および通常端末装置の接続可否を示す特徴情報を受け付けるシンクライアント特徴入力手段と、
シンクライアントシステムの実装方式および通常端末装置の接続可否に応じて予め設定されているアクセス制限方法の中から、前記シンクライアント特徴入力手段が受け付けた特徴情報によって示されるシンクライアントシステムの実装方式および通常端末装置の接続可否に適したアクセス制限方法を選択するアクセス制限方法選択手段と、
該アクセス制限方法選択手段で選択されたアクセス制限方法に従ってアクセス制限対象ネットワークに対するアクセス制限を実施するためのアクセス制限情報を生成するアクセス制限情報生成手段とを備えたことを特徴とするアクセス制限情報生成装置。
【請求項２】
請求項１記載のアクセス制限情報生成装置において、
実装方式および通常端末装置の接続可否に応じたアクセス制限方法が登録されたアクセス制限方法記憶部を備え、且つ、
前記アクセス制限方法選択手段が、前記アクセス制限方法記憶部に登録されているアクセス制限方法の中から、前記シンクライアント特徴入力手段が受け付けた特徴情報によって示されるシンクライアントシステムの実装方式および通常端末装置の接続可否に適したアクセス制限方法を選択することを特徴とするアクセス制限情報生成装置。
【請求項３】
請求項１または２記載のアクセス制限情報生成装置において、
前記アクセス制限対象ネットワークに対するアクセス制限を行うネットワーク構成機器に対して、前記アクセス制限情報生成手段で生成したアクセス制限情報を送信する送信手段を備えたことを特徴とするアクセス制限情報生成装置。
【請求項４】
請求項１乃至３の何れか１項に記載のアクセス制限情報生成装置において、
前記特徴情報が、シンクライアントシステムの実装方式および通常端末装置の接続可否に加えて端末装置の個体認証の有無も示し、
前記アクセス制限方法選択手段が、シンクライアントシステムの実装方式、通常端末装置の接続可否および個体認証の有無に応じて予め設定されているアクセス制限方法の中から、前記シンクライアント特徴入力手段が受け付けた特徴情報によって示されるシンクライアントシステムの実装方式、通常端末装置の接続可否および個体認証の有無に適したアクセス制限方法を選択することを特徴とするアクセス制限情報生成装置。
【請求項５】
請求項４記載のアクセス制限情報生成装置において、
前記アクセス制限対象ネットワークに接続した端末装置の機器固有情報を収集する機器固有情報収集手段と、
前記機器固有情報収集手段が収集した機器固有情報の中から、管理者の操作に従って前記アクセス制限対象ネットワークへの接続を許可する端末装置の機器固有情報を選択する機器固有情報選択手段とを備え、且つ、
前記アクセス制限情報生成手段が、前記機器固有情報選択手段で選択された機器固有情報と前記アクセス制限方法選択手段で選択されたアクセス制限方法とに従って、アクセス制限情報を生成することを特徴とするアクセス制限情報生成装置。
【請求項６】
請求項１乃至５の何れか１項に記載のアクセス制限情報生成装置において、
表示装置と、
シンクライアントシステムの実装方式および通常端末装置の接続可否に応じて予め設定されている注意点および実施可能なアクセス制限方法を含むアドバイス情報中から、前記シンクライアント特徴入力手段が受け付けた特徴情報によって示されるシンクライアントシステムの実装方式および通常端末装置の接続可否に応じたアドバイス情報を選択し、選択したアドバイス情報を前記表示装置に表示するアドバイス手段とを備えたことを特徴とするアクセス制限情報生成装置。
【請求項７】
コンピュータが、入力装置から入力されるシンクライアントシステムの実装方式および通常端末装置の接続可否を示す特徴情報を受け付けるシンクライアント特徴入力ステップと、
前記コンピュータが、シンクライアントシステムの実装方式および通常端末装置の接続可否に応じて予め設定されているアクセス制限方法の中から、前記シンクライアント特徴入力ステップで受け付けた特徴情報によって示されるシンクライアントシステムの実装方式および通常端末装置の接続可否に適したアクセス制限方法を選択するアクセス制限方法選択ステップと、
前記コンピュータが、前記アクセス制限方法選択ステップで選択されたアクセス制限方法に従ってアクセス制限対象ネットワークに対するアクセス制限を実施するためのアクセス制限情報を生成するアクセス制限情報生成ステップとを含むことを特徴とするアクセス制限情報生成方法。
【請求項８】
請求項７記載のアクセス制限情報生成方法において、
前記コンピュータが、実装方式および通常端末装置の接続可否に応じたアクセス制限方法が登録されたアクセス制限方法記憶部を備え、且つ、
前記アクセス制限方法選択ステップでは、前記アクセス制限方法記憶部に登録されているアクセス制限方法の中から、前記シンクライアント特徴入力ステップで受け付けた特徴情報によって示されるシンクライアントシステムの実装方式および通常端末装置の接続可否に適したアクセス制限方法を選択することを特徴とするアクセス制限情報生成方法。
【請求項９】
請求項７または８記載のアクセス制限情報生成方法において、
前記コンピュータが、前記アクセス制限対象ネットワークに対するアクセス制限を行うネットワーク構成機器に対して、前記アクセス制限情報生成ステップで生成されたアクセス制限情報を送信する送信ステップを含むことを特徴とするアクセス制限情報生成方法。
【請求項１０】
請求項７乃至９の何れか１項に記載のアクセス制限情報生成方法において、
前記特徴情報が、シンクライアントシステムの実装方式および通常端末装置の接続可否に加えて端末装置の個体認証の有無を示し、
前記アクセス制限方法選択ステップでは、シンクライアントシステムの実装方式、通常端末装置の接続可否および個体認証の有無に応じて予め設定されているアクセス制限方法の中から、前記シンクライアント特徴入力ステップで受け付けた特徴情報によって示されるシンクライアントシステムの実装方式、通常端末装置の接続可否および個体認証の有無に適したアクセス制限方法を選択することを特徴とするアクセス制限情報生成方法。
【請求項１１】
請求項１０記載のアクセス制限情報生成方法において、
前記アクセス制限対象ネットワークに接続した端末装置の機器固有情報を収集する機器固有情報収集手段を備え、且つ、
前記コンピュータが、前記機器固有情報収集手段が収集した機器固有情報の中から、管理者の操作に従って前記アクセス制限対象ネットワークへの接続を許可する端末装置の機器固有情報を選択する機器固有情報選択ステップを含み、
前記アクセス制限情報生成ステップでは、前記機器固有情報選択ステップで選択された機器固有情報と前記アクセス制限方法選択ステップで選択されたアクセス制限方法とに従って、アクセス制限情報を生成することを特徴とするアクセス制限情報生成方法。
【請求項１２】
請求項７乃至１１の何れか１項に記載のアクセス制限情報生成方法において、
前記コンピュータが、シンクライアントシステムの実装方式および通常端末装置の接続可否に応じて予め設定されている注意点および実施可能なアクセス制限方法を含むアドバイス情報中から、前記シンクライアント特徴入力手段が受け付けた特徴情報によって示されるシンクライアントシステムの実装方式および通常端末装置の接続可否に応じたアドバイス情報を選択し、選択したアドバイス情報を表示装置に表示するアドバイスステップとを含むことを特徴とするアクセス制限情報生成方法。
【請求項１３】
コンピュータを、
入力装置から入力されたシンクライアントシステムの実装方式および通常端末装置の接続可否を示す特徴情報を受け付けるシンクライアント特徴入力手段、
シンクライアントシステムの実装方式および通常端末装置の接続可否に応じて予め設定されているアクセス制限方法の中から、前記シンクライアント特徴入力手段が受け付けた特徴情報によって示されるシンクライアントシステムの実装方式および通常端末装置の接続可否に適したアクセス制限方法を選択するアクセス制限方法選択手段、
該アクセス制限方法選択手段で選択されたアクセス制限方法に従ってアクセス制限対象ネットワークに対するアクセス制限を実施するためのアクセス制限情報を生成するアクセス制限情報生成手段として機能させるためのプログラム。
【請求項１４】
請求項１３記載のプログラムにおいて、
前記コンピュータが、実装方式および通常端末装置の接続可否に応じたアクセス制限方法が登録されたアクセス制限方法記憶部を備え、且つ、
前記アクセス制限方法選択手段が、前記アクセス制限方法記憶部に登録されているアクセス制限方法の中から、前記シンクライアント特徴入力手段が受け付けた特徴情報によって示されるシンクライアントシステムの実装方式および通常端末装置の接続可否に適したアクセス制限方法を選択することを特徴とするプログラム。
【請求項１５】
請求項１３または１４記載のプログラムにおいて、
前記コンピュータを、前記アクセス制限対象ネットワークに対するアクセス制限を行うネットワーク構成機器に対して、前記アクセス制限情報生成手段で生成したアクセス制限情報を送信する送信手段として機能させるためのプログラム。
【請求項１６】
請求項１３乃至１５の何れか１項に記載のプログラムにおいて、
前記特徴情報が、シンクライアントシステムの実装方式および通常端末装置の接続可否に加えて端末装置の個体認証の有無も示し、
前記アクセス制限方法選択手段が、シンクライアントシステムの実装方式、通常端末装置の接続可否および個体認証の有無に応じて予め設定されているアクセス制限方法の中から、前記シンクライアント特徴入力手段が受け付けた特徴情報によって示されるシンクライアントシステムの実装方式、通常端末装置の接続可否および個体認証の有無に適したアクセス制限方法を選択することを特徴とするプログラム。
【請求項１７】
請求項１６記載のアクセス制限情報生成装置において、
前記コンピュータを、前記アクセス制限対象ネットワークに接続した端末装置の機器固有情報を収集する機器固有情報収集手段で収集された機器固有情報の中から、管理者の操作に従って前記アクセス制限対象ネットワークへの接続を許可する端末装置の機器固有情報を選択する機器固有情報選択手段として機能させ、且つ、
前記アクセス制限情報生成手段が、前記機器固有情報選択手段で選択された機器固有情報と前記アクセス制限方法選択手段で選択されたアクセス制限方法とに従って、アクセス制限情報を生成することを特徴とするプログラム。
【請求項１８】
請求項１３乃至１７の何れか１項に記載のプログラムにおいて、
前記コンピュータを、シンクライアントシステムの実装方式および通常端末装置の接続可否に応じて予め設定されている注意点および実施可能なアクセス制限方法を含むアドバイス情報中から、前記シンクライアント特徴入力手段が受け付けた特徴情報によって示されるシンクライアントシステムの実装方式および通常端末装置の接続可否に応じたアドバイス情報を選択し、選択したアドバイス情報を表示装置に表示するアドバイス手段として機能させるためのプログラム。
【請求項１】
入力装置から入力されたシンクライアントシステムの実装方式および通常端末装置の接続可否を示す特徴情報を受け付けるシンクライアント特徴入力手段と、
シンクライアントシステムの実装方式および通常端末装置の接続可否に応じて予め設定されているアクセス制限方法の中から、前記シンクライアント特徴入力手段が受け付けた特徴情報によって示されるシンクライアントシステムの実装方式および通常端末装置の接続可否に適したアクセス制限方法を選択するアクセス制限方法選択手段と、
該アクセス制限方法選択手段で選択されたアクセス制限方法に従ってアクセス制限対象ネットワークに対するアクセス制限を実施するためのアクセス制限情報を生成するアクセス制限情報生成手段とを備えたことを特徴とするアクセス制限情報生成装置。
【請求項２】
請求項１記載のアクセス制限情報生成装置において、
実装方式および通常端末装置の接続可否に応じたアクセス制限方法が登録されたアクセス制限方法記憶部を備え、且つ、
前記アクセス制限方法選択手段が、前記アクセス制限方法記憶部に登録されているアクセス制限方法の中から、前記シンクライアント特徴入力手段が受け付けた特徴情報によって示されるシンクライアントシステムの実装方式および通常端末装置の接続可否に適したアクセス制限方法を選択することを特徴とするアクセス制限情報生成装置。
【請求項３】
請求項１または２記載のアクセス制限情報生成装置において、
前記アクセス制限対象ネットワークに対するアクセス制限を行うネットワーク構成機器に対して、前記アクセス制限情報生成手段で生成したアクセス制限情報を送信する送信手段を備えたことを特徴とするアクセス制限情報生成装置。
【請求項４】
請求項１乃至３の何れか１項に記載のアクセス制限情報生成装置において、
前記特徴情報が、シンクライアントシステムの実装方式および通常端末装置の接続可否に加えて端末装置の個体認証の有無も示し、
前記アクセス制限方法選択手段が、シンクライアントシステムの実装方式、通常端末装置の接続可否および個体認証の有無に応じて予め設定されているアクセス制限方法の中から、前記シンクライアント特徴入力手段が受け付けた特徴情報によって示されるシンクライアントシステムの実装方式、通常端末装置の接続可否および個体認証の有無に適したアクセス制限方法を選択することを特徴とするアクセス制限情報生成装置。
【請求項５】
請求項４記載のアクセス制限情報生成装置において、
前記アクセス制限対象ネットワークに接続した端末装置の機器固有情報を収集する機器固有情報収集手段と、
前記機器固有情報収集手段が収集した機器固有情報の中から、管理者の操作に従って前記アクセス制限対象ネットワークへの接続を許可する端末装置の機器固有情報を選択する機器固有情報選択手段とを備え、且つ、
前記アクセス制限情報生成手段が、前記機器固有情報選択手段で選択された機器固有情報と前記アクセス制限方法選択手段で選択されたアクセス制限方法とに従って、アクセス制限情報を生成することを特徴とするアクセス制限情報生成装置。
【請求項６】
請求項１乃至５の何れか１項に記載のアクセス制限情報生成装置において、
表示装置と、
シンクライアントシステムの実装方式および通常端末装置の接続可否に応じて予め設定されている注意点および実施可能なアクセス制限方法を含むアドバイス情報中から、前記シンクライアント特徴入力手段が受け付けた特徴情報によって示されるシンクライアントシステムの実装方式および通常端末装置の接続可否に応じたアドバイス情報を選択し、選択したアドバイス情報を前記表示装置に表示するアドバイス手段とを備えたことを特徴とするアクセス制限情報生成装置。
【請求項７】
コンピュータが、入力装置から入力されるシンクライアントシステムの実装方式および通常端末装置の接続可否を示す特徴情報を受け付けるシンクライアント特徴入力ステップと、
前記コンピュータが、シンクライアントシステムの実装方式および通常端末装置の接続可否に応じて予め設定されているアクセス制限方法の中から、前記シンクライアント特徴入力ステップで受け付けた特徴情報によって示されるシンクライアントシステムの実装方式および通常端末装置の接続可否に適したアクセス制限方法を選択するアクセス制限方法選択ステップと、
前記コンピュータが、前記アクセス制限方法選択ステップで選択されたアクセス制限方法に従ってアクセス制限対象ネットワークに対するアクセス制限を実施するためのアクセス制限情報を生成するアクセス制限情報生成ステップとを含むことを特徴とするアクセス制限情報生成方法。
【請求項８】
請求項７記載のアクセス制限情報生成方法において、
前記コンピュータが、実装方式および通常端末装置の接続可否に応じたアクセス制限方法が登録されたアクセス制限方法記憶部を備え、且つ、
前記アクセス制限方法選択ステップでは、前記アクセス制限方法記憶部に登録されているアクセス制限方法の中から、前記シンクライアント特徴入力ステップで受け付けた特徴情報によって示されるシンクライアントシステムの実装方式および通常端末装置の接続可否に適したアクセス制限方法を選択することを特徴とするアクセス制限情報生成方法。
【請求項９】
請求項７または８記載のアクセス制限情報生成方法において、
前記コンピュータが、前記アクセス制限対象ネットワークに対するアクセス制限を行うネットワーク構成機器に対して、前記アクセス制限情報生成ステップで生成されたアクセス制限情報を送信する送信ステップを含むことを特徴とするアクセス制限情報生成方法。
【請求項１０】
請求項７乃至９の何れか１項に記載のアクセス制限情報生成方法において、
前記特徴情報が、シンクライアントシステムの実装方式および通常端末装置の接続可否に加えて端末装置の個体認証の有無を示し、
前記アクセス制限方法選択ステップでは、シンクライアントシステムの実装方式、通常端末装置の接続可否および個体認証の有無に応じて予め設定されているアクセス制限方法の中から、前記シンクライアント特徴入力ステップで受け付けた特徴情報によって示されるシンクライアントシステムの実装方式、通常端末装置の接続可否および個体認証の有無に適したアクセス制限方法を選択することを特徴とするアクセス制限情報生成方法。
【請求項１１】
請求項１０記載のアクセス制限情報生成方法において、
前記アクセス制限対象ネットワークに接続した端末装置の機器固有情報を収集する機器固有情報収集手段を備え、且つ、
前記コンピュータが、前記機器固有情報収集手段が収集した機器固有情報の中から、管理者の操作に従って前記アクセス制限対象ネットワークへの接続を許可する端末装置の機器固有情報を選択する機器固有情報選択ステップを含み、
前記アクセス制限情報生成ステップでは、前記機器固有情報選択ステップで選択された機器固有情報と前記アクセス制限方法選択ステップで選択されたアクセス制限方法とに従って、アクセス制限情報を生成することを特徴とするアクセス制限情報生成方法。
【請求項１２】
請求項７乃至１１の何れか１項に記載のアクセス制限情報生成方法において、
前記コンピュータが、シンクライアントシステムの実装方式および通常端末装置の接続可否に応じて予め設定されている注意点および実施可能なアクセス制限方法を含むアドバイス情報中から、前記シンクライアント特徴入力手段が受け付けた特徴情報によって示されるシンクライアントシステムの実装方式および通常端末装置の接続可否に応じたアドバイス情報を選択し、選択したアドバイス情報を表示装置に表示するアドバイスステップとを含むことを特徴とするアクセス制限情報生成方法。
【請求項１３】
コンピュータを、
入力装置から入力されたシンクライアントシステムの実装方式および通常端末装置の接続可否を示す特徴情報を受け付けるシンクライアント特徴入力手段、
シンクライアントシステムの実装方式および通常端末装置の接続可否に応じて予め設定されているアクセス制限方法の中から、前記シンクライアント特徴入力手段が受け付けた特徴情報によって示されるシンクライアントシステムの実装方式および通常端末装置の接続可否に適したアクセス制限方法を選択するアクセス制限方法選択手段、
該アクセス制限方法選択手段で選択されたアクセス制限方法に従ってアクセス制限対象ネットワークに対するアクセス制限を実施するためのアクセス制限情報を生成するアクセス制限情報生成手段として機能させるためのプログラム。
【請求項１４】
請求項１３記載のプログラムにおいて、
前記コンピュータが、実装方式および通常端末装置の接続可否に応じたアクセス制限方法が登録されたアクセス制限方法記憶部を備え、且つ、
前記アクセス制限方法選択手段が、前記アクセス制限方法記憶部に登録されているアクセス制限方法の中から、前記シンクライアント特徴入力手段が受け付けた特徴情報によって示されるシンクライアントシステムの実装方式および通常端末装置の接続可否に適したアクセス制限方法を選択することを特徴とするプログラム。
【請求項１５】
請求項１３または１４記載のプログラムにおいて、
前記コンピュータを、前記アクセス制限対象ネットワークに対するアクセス制限を行うネットワーク構成機器に対して、前記アクセス制限情報生成手段で生成したアクセス制限情報を送信する送信手段として機能させるためのプログラム。
【請求項１６】
請求項１３乃至１５の何れか１項に記載のプログラムにおいて、
前記特徴情報が、シンクライアントシステムの実装方式および通常端末装置の接続可否に加えて端末装置の個体認証の有無も示し、
前記アクセス制限方法選択手段が、シンクライアントシステムの実装方式、通常端末装置の接続可否および個体認証の有無に応じて予め設定されているアクセス制限方法の中から、前記シンクライアント特徴入力手段が受け付けた特徴情報によって示されるシンクライアントシステムの実装方式、通常端末装置の接続可否および個体認証の有無に適したアクセス制限方法を選択することを特徴とするプログラム。
【請求項１７】
請求項１６記載のアクセス制限情報生成装置において、
前記コンピュータを、前記アクセス制限対象ネットワークに接続した端末装置の機器固有情報を収集する機器固有情報収集手段で収集された機器固有情報の中から、管理者の操作に従って前記アクセス制限対象ネットワークへの接続を許可する端末装置の機器固有情報を選択する機器固有情報選択手段として機能させ、且つ、
前記アクセス制限情報生成手段が、前記機器固有情報選択手段で選択された機器固有情報と前記アクセス制限方法選択手段で選択されたアクセス制限方法とに従って、アクセス制限情報を生成することを特徴とするプログラム。
【請求項１８】
請求項１３乃至１７の何れか１項に記載のプログラムにおいて、
前記コンピュータを、シンクライアントシステムの実装方式および通常端末装置の接続可否に応じて予め設定されている注意点および実施可能なアクセス制限方法を含むアドバイス情報中から、前記シンクライアント特徴入力手段が受け付けた特徴情報によって示されるシンクライアントシステムの実装方式および通常端末装置の接続可否に応じたアドバイス情報を選択し、選択したアドバイス情報を表示装置に表示するアドバイス手段として機能させるためのプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【公開番号】特開２００８−３０５０５３（Ｐ２００８−３０５０５３Ａ）
【公開日】平成２０年１２月１８日（２００８．１２．１８）
【国際特許分類】
【出願番号】特願２００７−１５００７０（Ｐ２００７−１５００７０）
【出願日】平成１９年６月６日（２００７．６．６）
【出願人】（０００２３２０９２）ＮＥＣソフト株式会社 (173)
【Ｆターム（参考）】
【公開日】平成２０年１２月１８日（２００８．１２．１８）
【国際特許分類】
【出願日】平成１９年６月６日（２００７．６．６）
【出願人】（０００２３２０９２）ＮＥＣソフト株式会社 (173)
【Ｆターム（参考）】
[ Back to top ]