アクセス権管理システム、サーバ及びアクセス権管理プログラム
【課題】 複数のドメインでサービス資源を共有する際に、共有の対象となるサービス資源に対するアクセスポリシーを、ドメイン管理者らの合意の下で策定するにあたり、効率的かつ確実な合意の形成を支援できるアクセス権管理システムを提供する。
【解決手段】 資源共有ポリシーを作成し、複数のドメイン管理者間による資源共有ポリシーの交渉処理を行うアクセス権管理装置１０をドメイン毎に備え、資源共有ポリシーを作成したアクセス権管理装置が、資源共有ポリシーを構成するポリシー単位毎に、当該ポリシー単位の交渉先である前記アクセス権管理装置を特定し、特定したアクセス権管理装置の識別名と交渉対象となる前記ポリシー単位とを含む交渉情報を生成し、交渉情報を特定のアクセス権管理装置に送信し、交渉情報を送信した特定のアクセス権管理装置から、全てのポリシー単位に対する合意の指示があった場合に、資源共有ポリシーを共有資源２０に設定する。
【解決手段】 資源共有ポリシーを作成し、複数のドメイン管理者間による資源共有ポリシーの交渉処理を行うアクセス権管理装置１０をドメイン毎に備え、資源共有ポリシーを作成したアクセス権管理装置が、資源共有ポリシーを構成するポリシー単位毎に、当該ポリシー単位の交渉先である前記アクセス権管理装置を特定し、特定したアクセス権管理装置の識別名と交渉対象となる前記ポリシー単位とを含む交渉情報を生成し、交渉情報を特定のアクセス権管理装置に送信し、交渉情報を送信した特定のアクセス権管理装置から、全てのポリシー単位に対する合意の指示があった場合に、資源共有ポリシーを共有資源２０に設定する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はアクセス権管理システム、アクセス権管理方法及びアクセス権管理用プログラムに関し、特に複数の管理者が存在する場合に、効率的かつ確実に合意を形成するためのアクセス権管理システム、アクセス権管理方法及びアクセス権管理用プログラムに関する。
【背景技術】
【０００２】
従来の大部分のアクセス権管理システムは、企業業務アプリケーションや企業ＬＡＮの運用に見られるように、単一組織内のユーザによるコンピュータやネットワーク機器等の資源へのアクセスを扱っている。近年、業務提携や産学共同研究などの隆盛により、複数の組織でアプリケーションサーバやストレージサーバ等を含む資源を共有することに対する関心が高まってきており、そうした共有資源に対するアクセスを管理するためのアクセス権管理システムが提案されるようになった。
【０００３】
そうしたアクセス権管理システムの一例が、特許文献１に記載されている。この特許文献１記載のアクセス権管理システムは、ワークフローに関するポリシーを策定するにあたり、ワークフローの構成要素となるタスクの担当者同士で、タスクの実行順序の調停を支援する。
【０００４】
具体的には、あるタスク（推移元）の担当者が、後段のタスク（推移先）を決定するにあたり、複数の推移先候補が存在する場合に、アクセス権管理システムが前記推移元担当者と推移先候補の各担当者とのメーリングリスト等のコミュニケーション場を生成して、（推移元担当者にとって）最適な推移先を決定することを支援する。前記コミュニケーション場では、例えば推移先タスクを完了するまでの工数や価格などが交渉され、推移元担当者の判断によって１つの推移先タスクが決定される。
【０００５】
また、アクセス権管理システムの他の一例が、特許文献２に記載されている。この特許文献２では、ネットワークドメインを超えたサービス利用の場面における、サービス提供装置（ドナー・フレームワーク）とサービス利用装置（レシーバ・フレームワーク）との間で行われる、サービス利用ポリシー（連合サービス合意）の締結方法が示されている。ここで、サービス利用ポリシーとは、サービス提供装置が提供する複数のサービスのうち、サービス利用装置による利用が認められるサービスを具体的に指示するデータを指す。
【０００６】
特許文献２記載のアクセス権管理方法によると、まずサービス利用装置がサービス提供装置に利用したいサービスのＩＤを送信すると、サービス提供装置がサービスレベルなどサービスの利用条件を示すデータ（サービストークン）をサービス利用装置に応答する。次に、サービス利用装置がサービストークンに記載された条件が十分であると判断した場合に、当該サービストークンに合意を示すデジタル署名を施し、サービス提供装置に送信する。その後、サービス提供装置は、さらにデジタル署名を施して、サービス利用装置に応答する。このようにして、サービス提供装置・利用装置双方のデジタル署名が施されたサービストークンは、以後、双方合意の下で策定されたサービス利用ポリシーとして使用される。
【０００７】
さらに、非特許文献１及び２には、異なる２つ以上の組織（ドメイン）で、データベースなどのサービス資源を共有する際に、当該共有資源へのアクセスに関するポリシー（アクセスポリシー）を策定・強制する方法が開示されている。しかし、いずれの方法も、あるドメインの管理者が、所定の共有資源を利用しようとするドメイングループの代表者として選任され、アクセスポリシーの策定を集中的に行うものである。
【特許文献１】特開２００６−９２０７３号公報（図２）
【特許文献２】特開２００６−５０６６９６号公報（図７Ｄ）
【非特許文献１】Greenwald, “A newsecurity policy for distributed resource management and access control”,Proceedings of the 1996 workshop on New Security Paradigms, 1996, pp. 74-86.
【非特許文献２】Vimercati and Samarati,“Access Control in Federated Systems”, Proceedings of the 1996 workshop on NewSecurity Paradigms, 1996, pp. 87-99.
【発明の開示】
【発明が解決しようとする課題】
【０００８】
一般に、アクセスポリシーは、アクセス主体（サブジェクト）・アクセス対象（オブジェクト）・アクセス動作（アクション）の３つ組を１つの単位（アクセスポリシー単位）として、それらアクセスポリシー単位のリストとして定義される。複数のドメインでサービス資源を共有する際に、共有の対象となるサービス資源に対するアクセスポリシーの策定については、上記非特許文献１及び２に一例としての開示される策定方法のように、特定のドメイン管理者もしくは第三者にアクセスアクセス権管理を一任するものであるため、委任されたドメイン管理者による、本来他のドメイン管理者から許されないアクセスポリシーの不公正な策定を許してしまうという問題があった。
【０００９】
そこで、資源を共有する主体となるドメイン管理者間でアクセスポリシーを交渉し、合意を得る必要があるが、アクセスポリシーの交渉・合意にあたっては、少なくとも以下の作業を実施する必要がある。
【００１０】
（１）あるドメイン管理者が作成したアクセスポリシー案を、他のドメイン管理者に提示する。
【００１１】
（２）他のドメイン管理者は、提示されたアクセスポリシーの中から、自身の承認を必要とするアクセスポリシー単位を特定・検証する。
【００１２】
（３）さらに他のドメイン管理者は、特定されたアクセスポリシー単位について、承認・却下・対案提示などのリアクションを行い、（１）と同様に他のドメイン管理者に提示する。
【００１３】
（４）全てのアクセスポリシー単位に必要なドメイン管理者全員の承認が得られたとき、当該アクセスポリシーを合意済みアクセスポリシーとして、全てのドメイン管理者が各自保管する。
【００１４】
しかし、上記した従来のアクセス権管理方法のいずれを用いても、以下のような問題点があるために、これら４ステップの作業が効率的かつ確実に行われることをシステム的に保証することができなかった。
【００１５】
第１の問題点は、ドメイン管理者間のアクセスポリシー交渉の効率化が不十分、ということである。
【００１６】
その理由は、特許文献１記載のアクセス権管理方法においては、上記ステップ（１）と（３）を行うコミュニケーション場を生成することで交渉の効率化を図るが、ステップ（２）の作業が含まれておらず、多数のアクセスポリシー単位を含むアクセスポリシーの交渉にあっては、多数の無関係なアクセスポリシー単位が存在し、検証の効率を低下させるためである。
【００１７】
第２の問題点は、対案提示や合意後の修正が考慮されていない、ということである。
【００１８】
その理由は、特許文献２記載のアクセス権管理方法は、上記ステップ（１）、（３）、（４）を実現する一例であるが、ステップ（３）において対案提示を行う方法が示されていない。また、ステップ（４）の後、あるドメイン管理者がアクセスポリシーを一部修正したい場合に上記４ステップを改めて実施する必要があるが、特許文献２記載のアクセス権管理方法では、部分的な合意を考慮していないため、未修正部分も含めて上記４ステップによる交渉を再度実施しなければならない。
【００１９】
（発明の目的）
【００２０】
本発明の目的は、複数のドメインでサービス資源を共有する際に、共有の対象となるサービス資源に対するアクセスポリシーを、ドメイン管理者らの合意の下で策定するにあたり、効率的かつ確実な合意の形成を支援できるアクセス権管理システム、サーバ及びアクセス権管理プログラムを提供することにある。
【００２１】
本発明の他の目的は、対案提示や合意後の修正についても、必要なドメイン管理者らによる再合意を促すことのできるアクセス権管理システム、サーバ及びアクセス権管理プログラムを提供することにある。
【課題を解決するための手段】
【００２２】
上記目的を達成する本発明のアクセス権管理システムは、資源共有ポリシーを作成し、複数のドメイン管理者間による資源共有ポリシーの交渉処理を行うアクセス権管理装置をドメイン毎に備え、前記資源共有ポリシーを作成した前記アクセス権管理装置が、前記資源共有ポリシーを構成するポリシー単位毎に、当該ポリシー単位の交渉先である前記アクセス権管理装置を特定し、特定した前記アクセス権管理装置の識別名と交渉対象となる前記ポリシー単位とを含む交渉情報を生成し、前記交渉情報を前記特定のアクセス権管理装置に送信し、前記交渉情報を送信した前記特定のアクセス権管理装置から、全ての前記ポリシー単位に対する合意の指示があった場合に、前記資源共有ポリシーを共有資源に設定することを特徴とする。
【００２３】
請求項２によるアクセス権管理システムは、前記アクセス権管理装置が、前記資源共有ポリシーを作成・編集するポリシー編集手段と、資源共有を行うユーザやドメイン管理者、前記アクセス権管理装置の識別情報と、前記ドメインとの関係を含むドメイン情報を格納するグループ管理手段と、共有資源の識別名と前記ドメインとを対応付けて格納する共有資源管理手段と、前記資源共有ポリシーから交渉先の前記ドメインと交渉を要する前記ポリシー単位を抽出し、前記グループ管理手段と前記共有資源管理手段を参照して、前記交渉情報を生成する交渉情報生成手段と、前記資源共有ポリシーの前記ポリシー単位について前記特定のアクセス権管理装置から合意を得る交渉処理を実行するポリシー交渉手段と、合意済みの資源共有ポリシーのみを共有資源に設定するポリシー強制手段とを備えることを特徴とする。
【００２４】
請求項３によるアクセス権管理システムは、前記ポリシー編集手段が前記資源共有ポリシーを新規に作成し又は変更したとき、前記交渉情報生成手段が、前記資源共有ポリシーを前記ポリシー単位に分割し、前記ポリシー単位毎に、ユーザの識別名の所属ドメインを前記グループ管理手段に問い合わせ、又は共有資源の識別名の所属ドメインを共有資源管理手段に問い合わせることにより、当該ポリシー単位の交渉先を特定し、交渉先の前記アクセス権管理装置の識別名のリストと交渉対象となるポリシー単位とを含む交渉情報を生成することを特徴とする。
【００２５】
請求項４によるアクセス権管理システムは、前記ポリシー交渉手段が、前記交渉情報生成手段が生成した前記交渉情報を、当該交渉情報に含まれる前記アクセス権管理装置に送信し、当該アクセス権管理装置から、前記交渉情報に含まれるポリシー単位に対する合意指示が得られたときに、前記アクセス権管理装置のドメイン管理者のデジタル署名を当該ポリシー単位に付与することを特徴とする。
【００２６】
請求項５によるアクセス権管理システムは、前記ポリシー交渉手段が、前記資源共有ポリシーの前記ポリシー単位に付与された前記デジタル署名の有無を検証し、合意がなされたと判定した場合に、資源共有ポリシーを合意済みのポリシー単位で更新することを特徴とする。
【００２７】
請求項６によるアクセス権管理システムは、前記共有資源が、仮想的な共有資源であり、前記仮想的な共有資源を生成して前記アクセス権管理装置に仮想化共有資源情報を登録する仮想化資源生成手段を備えることを特徴とする。
【００２８】
（作用）
ポリシー編集手段が資源共有ポリシーを新規に作成又は変更したとき、交渉情報生成手段が、資源共有ポリシーを構成する要素（ポリシー単位）に分割して、ポリシー単位毎に、ユーザの識別名（サブジェクト）の所属ドメインをグループ管理手段に問い合わせ、又は共有資源の識別名（オブジェクト）の所属ドメインを共有資源管理手段に問い合わせて、当該ポリシー単位の交渉先を特定して、アクセス権管理装置の識別名のリストと交渉対象となるポリシー単位とを含む交渉情報を生成する。
【００２９】
また、ポリシー交渉手段は、交渉情報生成手段が生成した交渉情報を、当該交渉情報で指定されたアクセス権管理装置に送信し、送信したアクセス権管理装置からドメイン管理者により、交渉情報に含まれるポリシー単位に対する合意指示が得られたときに、ドメイン管理者のデジタル署名を当該ポリシー単位に付与する。また、デジタル署名の存在を確認して、合意がなされたと判定した場合に、資源共有ポリシーを合意済みのポリシー単位で更新し、ポリシー強制手段が、合意済みポリシー単位で構成される資源共有ポリシーのみを、共有資源に設定する。
【発明の効果】
【００３０】
本発明によれば、以下のような効果を実現できる。
【００３１】
新たに作成された資源共有ポリシーに対して、ポリシー単位毎に交渉を要するドメインのアクセス権管理装置を特定し、交渉情報を生成するよう構成されているため、必要最小限の交渉先に対して、必要最小限のポリシー記述量を伴った効率のよいポリシー交渉を実現することができる。
【００３２】
また、合意済みの資源共有ポリシーのうち、１つ以上のポリシー単位が修正又は追加された場合、修正又は追加されたポリシー単位を未合意のポリシーとして更新し、かつ未合意ポリシーのみについて、交渉情報を生成するように構成されているため、既に合意されたポリシー単位の再交渉を必要とせず、変更や追加箇所に限定した再交渉を実現することができる。
【発明を実施するための最良の形態】
【００３３】
次に、発明を実施するための最良の形態について図面を参照して詳細に説明する。
【００３４】
（第１の実施の形態）
図１を参照すると、本発明の第１の実施の形態は、組織毎にアクセス権管理装置１０と、コンピュータやストレージなどの共有資源２０とを有し、アクセス権管理装置１０は別組織のアクセス権管理装置１０−１〜１０−Ｎと接続されている。
なお、アクセス権管理装置１０及び別組織のアクセス権管理装置１０−１〜１０−Ｎについてはそれぞれ共通の構成であるので、以下アクセス権管理装置１０の構成のみについて説明する。
【００３５】
アクセス権管理装置１０は、ポリシー編集手段１１００と、グループ管理手段１２００と、共有資源管理手段１３００と、ポリシー管理手段１４００と、ポリシー交渉手段１５００と、交渉情報生成手段１６００と、ポリシー強制手段１７００とを備える。
【００３６】
ポリシー編集手段１１００は、図２に示すように、管理者による資源共有ポリシーの編集操作を受け付けるためのキーボードやマウスなどの入力手段１１０１と、編集中のポリシーやその他必要な作業データを一時記憶するための一時記憶手段１１０２と、一時記憶手段１１０２に記憶されているポリシーを表示するＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）などの出力手段１１０３とを備える。
【００３７】
そして、ポリシー編集手段１１００は、入力手段１１０１から新たなポリシー編集指示が得られた際に、ポリシー管理手段１４００から当該指示に応じた資源共有ポリシーを抽出し、一時記憶手段１１０２に記憶すると共に、出力手段１１０３を介して当該資源共有ポリシーを管理者に対して提示する。
【００３８】
また、ポリシー編集手段１１００の入力手段１１０１から新たなポリシー又はポリシー単位の作成要求が入力された場合には、グループ管理手段１２００から資源共有に関係するドメインのユーザ識別名などを含むドメイン情報を抽出し、共有資源管理手段１３００からグループで共有する資源情報を抽出し、当該ドメイン情報及び資源情報を一時記憶手段１１０２に記憶したのち、出力手段１１０３を介して管理者に対して提示する。
【００３９】
そして、入力手段１１０１から新規又は更新されたポリシー単位の入力を受け付けて、当該ポリシー単位を一時記憶手段１１０２に蓄積されている資源共有ポリシーへ追加又は更新する。
【００４０】
さらに、入力手段１１０１からポリシー交渉指示があった際は、一時記憶手段１１０２に蓄積されている資源共有ポリシーをポリシー交渉手段１５００に入力し、ポリシー交渉手段１５００が出力する新しい資源共有ポリシーで、一時記憶手段１１０２内の古い資源共有ポリシーを置き換える。
【００４１】
あるいは、入力手段１１０１からポリシー登録指示があった際は、一時記憶手段１１０２に蓄積されている資源共有ポリシーを、ポリシー管理手段１４００に入力して、記録する。
【００４２】
また、入力手段１１０１からポリシー強制指示が入力された場合は、一時記憶手段１１０２に蓄積されている資源共有ポリシーを、ポリシー強制手段１７００に入力して、自組織の共有資源２０へ強制的に設定する。
【００４３】
グループ管理手段１２００は、ハードディスク装置（ＨＤＤ）等の二次記憶デバイスを用いて、グループを構成する各組織のドメイン情報を格納し、ポリシー編集手段１１００や交渉情報生成手段１６００からの問い合わせに応じて、保管されているドメイン情報を抽出・出力する。
【００４４】
共有資源管理手段１３００は、ハードディスク装置（ＨＤＤ）等の二次記憶デバイスを用いて、グループで共有するコンピュータやストレージなどの資源情報をドメインと対応付けて格納し、ポリシー編集手段１１００や交渉情報生成手段１６００からの問い合わせに応じて、保管されている資源情報を抽出・出力する。
【００４５】
ポリシー管理手段１４００は、ハードディスク装置（ＨＤＤ）等の二次記憶デバイスを用いて、ポリシー編集手段１１００から入力されたグループの資源共有ポリシーを保管するとともに、ポリシー編集手段１１００の問い合わせに応じて、保管されている資源共有ポリシーを出力する。
【００４６】
ポリシー交渉手段１５００は、図３に示すように、作業データを一時記憶する一時記憶手段１５０１と、送信手段１５０２と、受信手段１５０３と、ＬＣＤなどの出力手段１５０４と、入力手段１５０５と、署名付与手段１５０６と、署名検査手段１５０７とを備える。
【００４７】
ポリシー交渉手段１５００が、ポリシー編集手段１１００から入力された資源共有ポリシーを、交渉情報生成手段１６００に入力して、得られた交渉情報を一時記憶手段１５０１に格納した後、送信手段１５０２は、一時記憶手段１５０１内の交渉情報を参照しながら、交渉の対象となる１つ以上のポリシー単位を適切なアクセス権管理装置１０−１ないし１０−Ｎに送信する。
【００４８】
受信手段１５０３は、他のアクセス権管理装置１０−１ないし１０−Ｎから送信される１つ以上のポリシー単位を受信し、一時記憶手段１５０１に格納する。
【００４９】
出力手段１５０４は、一時記憶手段１５０１に格納されている受信したポリシー単位を管理者に向けて表示する。
【００５０】
入力手段１５０５は、管理者によるポリシー単位への合意指示を受け付ける。
【００５１】
署名付与手段１５０６は、入力手段１５０５で得られた合意指示に応じて、合意対象であるポリシー単位にデジタル署名を付与したポリシー単位を、一時記憶装置１５０１に格納する。
【００５２】
署名検査手段１５０７は、一時記憶装置１５０１内のポリシー単位を参照して、デジタル署名を検査して合意済みか否かを判定する。
【００５３】
交渉情報生成手段１６００は、図４に示すように、作業データを一時記憶する一時記憶手段１６０１と、ポリシー単位抽出手段１６０２と、交渉先特定手段１６０３とを備える。
【００５４】
交渉情報生成手段１６００が、ポリシー交渉手段１５００から入力された資源共有ポリシーを一時記憶手段１６０１に格納した後、ポリシー単位抽出手段１６０２が、一時記憶手段１６０１に格納されている資源共有ポリシーを参照して、合意が成立していないポリシー単位（未合意ポリシー単位）を抽出し、一時記憶手段１６０１に格納する。
【００５５】
そして、交渉先特定手段１６０３が、一時記憶手段１６０１に格納されている各未合意ポリシー単位を参照しながら、グループ管理手段１２００及び共有資源管理手段１３００から関係するドメイン情報と資源情報を取得して、交渉を要する管理者のアクセス権管理装置１の識別名（ＤＮＳ名やＩＰアドレスなど）を一時記憶手段１６０１に格納する。
【００５６】
その後、交渉情報生成手段１６００が、一時記憶手段１６０１に格納されているアクセス権管理装置１の識別名と、関連する未合意ポリシー単位とを含む交渉情報を生成し、ポリシー交渉手段１５００に出力する。
【００５７】
ポリシー強制手段１７００は、作業データを格納するための一時記憶手段１７０１と、署名検証手段１７０２と、設定手段１７０３とを備える。
【００５８】
ポリシー編集手段１１００から入力された資源共有ポリシーを一時記憶手段１７０１に格納した後、署名検証手段１７０１が、一時記憶手段１７０１内の資源共有ポリシーに含まれる全てのポリシー単位のデジタル署名を検証して合意済みか否かの判定を行う。
【００５９】
設定手段１７０２は一時記憶手段１７０１内の資源共有ポリシーを、所定のアクセス権記述フォーマットに変換して、共有資源２０に設定する。
【００６０】
次に、図１及び図５、図６のフローチャートを参照して、本実施形態におけるアクセス権管理装置１の動作について、詳細に説明する。
【００６１】
なお、以下の説明では、図７に示す通り、アクセス権管理装置１０−ＡがドメインＡの管理者Ａｄｍｉｎ（Ａ）が用い、アクセス権管理装置１０−Ｂと１０−ＣをそれぞれドメインＢの管理者Ａｄｍｉｎ（Ｂ）とドメインＣの管理者Ａｄｍｉｎ（Ｃ）が用いるものとし、これら３者間で各ドメインから提供される共有資源２０−Ａ、２０−Ｂ、２０−Ｃに対する資源共有ポリシーを交渉して策定するものとする。
【００６２】
まず、上記３管理者のうち、何れかの管理者のアクセス管理装置１０−Ａ、１０−Ｂないし１０−Ｃによって、資源共有ポリシーが新規に作成される（図５のステップ５０１）。例えば、管理者Ａｄｍｉｎ（Ａ）のアクセス権管理装置１０−Ａによって新たに作成するとき、アクセス権管理装置１０−Ａのポリシー編集手段１１００が、出力手段１１０３を介して、図８に示すような画面を管理者Ａｄｍｉｎ（Ａ）に対して表示すると共に、管理者Ａｄｍｉｎ（Ａ）からのポリシー編集操作を受け付けながら、一時記憶手段１１０２内に新規の資源共有ポリシーを生成する。
【００６３】
このとき、資源共有ポリシーの編集作業を簡便にするため、ポリシー編集手段１１００が、グループ管理手段１２００から資源共有を行うドメインＡ、Ｂ及びＣに属するグループメンバを含むドメイン情報を取得して、出力手段１１０３へ出力したり、共有資源管理手段１３００から共有されるドメインＡ、Ｂ及びＣに属するサーバコンピュータ名などを含む資源情報を取得して、出力手段１１０３へ出力したりすることができる。
【００６４】
また、ここで生成される資源共有ポリシーは、少なくとも以下の情報を含み、例えば、図９に示すようなＸＭＬ構文に従った記述形式を有することが望ましい。
（１）ポリシー作成に供したアクセス権管理装置の識別名（例えば、アクセス権管理装置１０−ＡのＩＰアドレス等）
（２）ポリシーを作成した日時または版番号
（３）１つ以上のサブジェクト、オブジェクト及びアクションの３つ組からなる「ポリシー単位」
【００６５】
次に、管理者Ａｄｍｉｎ（Ａ）は新規に作成した資源共有ポリシーの登録処理を行う（ステップ５０２）。このとき、アクセス権管理装置１０−Ａのポリシー編集手段１１００は、例えば、図８の画面例で登録ボタンを押下するなどして管理者Ａｄｍｉｎ（Ａ）によって与えられたポリシー登録指示に応じて、一時記憶手段１１０２内に格納されている資源共有ポリシーを、ポリシー管理手段１４００に出力する。ポリシー管理手段１４００は、入力された資源共有ポリシーを二次記憶デバイスに格納する。このとき、当該資源共有ポリシーのすべてのポリシー単位は「未合意」であり、図９の例に見られるように、ポリシー単位に相当するＸＭＬ要素に対して一切のデジタル署名が付与されないまま格納される。
【００６６】
さらに、管理者Ａｄｍｉｎ（Ａ）は登録した資源共有ポリシーについて、他の管理者Ａｄｍｉｎ（Ｂ）ないし管理者Ａｄｍｉｎ（Ｃ）から合意を得るための交渉処理を行う（ステップ５０３）。このとき、アクセス権管理装置１０−Ａのポリシー編集手段１１００が、例えば図８の画面例で交渉ボタンを押下するなどして管理者Ａｄｍｉｎ（Ａ）によって与えられたポリシー交渉指示に応じて、一時記憶１１０２又はポリシー管理手段１４００に格納されている資源共有ポリシーをポリシー交渉手段１５００に入力する。このとき、ポリシー交渉手段１５００は合意を得るための交渉処理を図６のフローチャートに示す手順で行う。
【００６７】
まず、ポリシー交渉手段１５００は、交渉を要する管理者のアクセス権管理装置と交渉対象となるポリシー単位を特定するために、資源共有ポリシーを交渉情報生成手段１６００へ入力する（図６のステップ６０１）。この際、交渉情報生成手段１６００は、当該資源共有ポリシーを一時記憶手段１６０１に格納し、ポリシー単位抽出手段１６０２は、一時記憶手段１６０１に格納されている資源共有ポリシーの各ポリシー単位を参照しながら、未合意であるもの（未合意ポリシー単位）を一時記憶手段１６０１から抽出する（ステップ６０２）。
【００６８】
そして、交渉先特定手段１６０３は、一時記憶手段１６０１内の各未合意ポリシー単位を参照しながら、サブジェクトとオブジェクトに対応する、それぞれのドメイン情報と資源情報をグループ管理手段１２００と共有資源管理手段１３００にそれぞれ問い合わせて取得し、得られたドメイン情報と資源情報とから交渉先となる管理者のアクセス権管理装置１０−Ｂ又は１０−Ｃの識別名（好適にはＤＮＳ名やＩＰアドレスなど）を抽出して、図１０に示すように、対応する未合意ポリシー単位と関連づけた形で一時記憶手段１６０１に格納する（ステップ６０３）。
【００６９】
その後、交渉情報生成手段１６００が、一時記憶手段１６０１を走査して、アクセス権管理装置１０−Ｂ又は１０−Ｃの識別名毎に関連づけられた未合意ポリシー単位を抽出し、図１１のように識別名及び１つ以上の未合意ポリシー単位を含む交渉情報を生成して、ポリシー交渉手段１５００へ出力する（ステップ６０４）。
【００７０】
次に、ポリシー交渉手段１５００は、交渉情報生成手段１６００から得られたすべての交渉情報を一時記憶手段１５０１に格納した後、送信手段１５０２が、一時記憶手段１５０１に格納されたそれぞれの交渉情報を参照しながら、交渉情報に含まれる識別名を基にアクセス権管理装置１０−Ｂ又は１０−ＣのＩＰアドレスを特定し、当該交渉情報をアクセス権管理装置１０−Ｂ又は１０−Ｃに送信し（ステップ６０５）、同じく交渉情報に含まれる未合意ポリシー単位について管理者Ａｄｍｉｎ（Ａ）、管理者Ａｄｍｉｎ（Ｂ）、管理者Ａｄｍｉｎ（Ｃ）の３者で交渉して得られる合意済みポリシー単位によって、アクセス権管理装置１０−Ａないし１０−Ｃの資源共有ポリシーを更新する（ステップ６０６、６０７）。
【００７１】
図６、図１２を参照しながら、具体例を用いて、ステップ６０５〜６０７をより詳細に説明する。今、ステップ６０４までで図１１に示す交渉情報が生成されたものとする。この交渉情報のアクセス権管理装置の識別名リストを参照すると、アクセス権管理装置１０−Ａ（識別名：ｐｏｌｉｃｙ−ｓｅｒｖｅｒ＠ｄｏｍａｉｎＡ．ｃｏｍ）とアクセス権管理装置１０−Ｂ（識別名：ｐｏｌｉｃｙ−ｓｅｒｖｅｒ＠ｄｏｍａｉｎＢ．ｃｏｍ）との間で交渉が必要であることがわかるので、アクセス権管理装置１０−Ａの送信手段１５０２は、当該交渉情報をアクセス権管理装置１０−Ｂへ送信する（ステップ６０５）。
【００７２】
アクセス権管理装置１０−Ｂは、交渉情報を、ポリシー交渉手段１５００の受信手段１５０３で受信し、一時記憶手段１５０１に格納する（図１２のステップ１２０１）。その後、署名検証手段１５０７が、一時記憶手段１５０１内の交渉情報に含まれる未合意ポリシー単位を参照しながら、デジタル署名の有無と正当性を検証する（ステップ１２０２）。
【００７３】
ここでは未合意ポリシー単位に一切のデジタル署名がないので、署名検証手段１５０７は確かに未合意であると判定し、出力手段１５０４を介して管理者Ａｄｍｉｎ（Ｂ）に向けて、例えば図１３に示すように表示する（ステップ１２０３）。
【００７４】
管理者Ａｄｍｉｎ（Ｂ）によって未合意ポリシー単位の内容が確認されると、合意ボタンを押下するなどの操作によって入力手段１５０５を介して合意指示が入力される（ステップ１２０４）。
【００７５】
合意指示が入力された場合、署名付与手段１５０６は、当該未合意ポリシー単位に対して管理者Ａｄｍｉｎ（Ｂ）のデジタル署名を付与して、一時記憶手段１５０１内の交渉情報の未合意ポリシー単位を更新する（ステップ１２０５）。
【００７６】
その後、署名検証手段１５０７によって、更新されたポリシー単位のデジタル署名の検証がなされ、管理者Ａｄｍｉｎ（Ａ）のデジタル署名がないので、依然として未合意ポリシー単位と判断される（ステップ１２０６）。そして、送信手段１５０２が、一時記憶手段１５０１内の管理者Ａｄｍｉｎ（Ｂ）のデジタル署名が付与された、未合意ポリシー単位を含む交渉情報（図１４参照）を、アクセス権管理装置１０−Ａに送信する（ステップ１２１１）。
【００７７】
一方、管理者Ａｄｍｉｎ（Ｂ）が合意しない場合、入力手段１５０５を介して、未合意ポリシー単位に対して、却下の指示を入力し又は未合意ポリシー単位に対して追加・修正・削除などの変更を加えることができる（ステップ１２０８）。
【００７８】
ステップ１２０８で、却下ボタンを押下するなどの操作により却下指示が入力された場合、ポリシー交渉手段１５００は、一時記憶手段１５０１内の交渉情報の中から、却下されたポリシー単位を削除した上で、送信手段１５０２を介してアクセス権管理装置１０−Ａに送信する（ステップ１２１１）。
【００７９】
あるいは、入力手段１５０５を介して未合意ポリシー単位に変更を加えた場合、ポリシー交渉手段１５００が変更された０以上の未合意ポリシー単位で、一時記憶手段１５０１内の交渉情報の未合意ポリシー単位を置き換えた後、送信手段１５０２を介してアクセス権管理装置１０−Ａに送信する（ステップ１２１１）。
【００８０】
なお、ステップ１２０８で、変更後の未合意ポリシー単位に、ドメインＡとドメインＢ以外のサブジェクト・オブジェクトが含まれているかどうかを検査し、例えば、「ＵＣ１＠ｄｏｍａｉｎＣ」などのサブジェクトが含まれている場合に、そうした変更をエラーとして、管理者Ａｄｍｉｎ（Ｂ）に再修正を求めるようにしてもよい（図１５参照）。図１５においては、ドメインＣの管理者Ａｄｍｉｎ（Ｃ）のアクセス権管理装置１０−Ｃに対して表示させたエラーメッセージの例を示している。
【００８１】
このような検査は、交渉情報生成手段１６００の交渉先特定手段１６０３と同等の機能を有する交渉先特定手段１６０３Ａをポリシー交渉手段１５００に備えることで実現できる（図１５参照）。こうすることにより、ドメインＣに属するサブジェクト又はオブジェクトを含むポリシー単位に対して、管理者Ａｄｍｉｎ（Ａ）、管理者Ａｄｍｉｎ（Ｂ）の間でたとえ合意が成立したとしても、後述するポリシー強制手段１７００の動作により、共有資源２０に対して設定不能な資源共有ポリシーが生成されることになるので、そうした不具合を事前に回避することができる。
【００８２】
次に、アクセス権管理装置１０−Ａのポリシー交渉手段１５００の受信手段１５０３が、アクセス権管理装置１０−Ｂから送信された交渉情報を受信すると、上記ステップ１２０１〜１２０９と同様の動作により、受信した交渉情報を更新し、再びアクセス権管理装置１０−Ｂに送信する。
【００８３】
なお、ステップ１２０４で、管理者Ａｄｍｉｎ（Ｂ）のデジタル署名が付与された未合意ポリシー単位に対して、管理者Ａｄｍｉｎ（Ａ）が合意指示を出すと、署名付与手段１５０６が、当該ポリシー単位に管理者Ａｄｍｉｎ（Ａ）のデジタル署名をさらに付与し（ステップ１２０５）、続いて署名検証手段１５０７が「合意済みポリシー単位」と判定してポリシー管理手段１４００へ入力し（ステップ１２０６）、ポリシー管理手段１４００が当該合意済みポリシー単位で資源共有ポリシーを更新する（ステップ１２０７）。そして、送信手段１５０２が当該合意済みポリシー単位を含む交渉情報をアクセス権管理装置１０−Ｂに再び送信する（ステップ１２１１）。
【００８４】
その後、アクセス権管理装置１０−Ｂのポリシー交渉手段１５００の受信手段１５０３が、前記交渉情報を受信すると、署名検証手段１５０７が合意済みポリシー単位を検出する（ステップ１２０２）。このとき、署名検証手段１５０７は、受信した交渉情報に含まれる合意済みポリシー単位をポリシー管理手段１６００に入力して、資源共有ポリシーを更新する（ステップ１２０９）。
【００８５】
その後、交渉情報に未合意ポリシー単位があるか否かを判定し（ステップ１２１０）、あれば未合意ポリシー単位を出力手段１５０４に入力して、上記ステップ１２０３以降の処理を継続する。一方、ステップ１２１０で、未合意ポリシー単位が含まれない場合は、ポリシー交渉が完了したと判定して処理を終了する。
【００８６】
最後に、アクセス権管理装置１０−Ａのポリシー編集手段１１００を用いて、管理者Ａｄｍｉｎ（Ａ）からの指示により資源共有ポリシーをドメインＡの共有資源２０−Ａに強制的に設定する（ステップ６０８）。このとき、アクセス権管理装置１０−Ａのポリシー編集手段１１００は、管理者Ａｄｍｉｎ（Ａ）から強制指示が与えられた資源共有ポリシーを、ポリシー強制手段１７００に入力する。
【００８７】
ポリシー強制手段１７００は、入力された資源共有ポリシーを一時記憶手段１７０１に格納する。その後、署名検証手段１７０１は、一時記憶手段１７０１内の資源共有ポリシーに含まれる全てのポリシー単位を参照しながら、サブジェクト・オブジェクトを、それぞれグループ管理手段１２００と共有資源管理手段１３００に問い合わせることにより、所属するドメインを確認し、得られたドメインの管理者によるデジタル署名の有無を検証する。
【００８８】
例えば、ドメインＡのサブジェクト ＵＡ１＠ｄｏｍａｉｎＡとドメインＢのオブジェクトＳＢ１＠ｄｏｍａｉｎＢが現れる場合、管理者Ａｄｍｉｎ（Ａ）のデジタル署名と管理者Ａｄｍｉｎ（Ｂ）のデジタル署名とが共に付与されていることを検証する。少なくとも一方のデジタル署名が欠けている場合、未合意ポリシー単位が含まれると判定して、以降の処理を中断する。
【００８９】
そして、全てのポリシー単位について、合意済みと判定された場合に限り、設定手段１７０２が資源共有ポリシーを、所定のアクセス権記述フォーマット（例えばＩＰフィルタリングルールなど）に変換して、共有資源２０−Ａに設定する。
【００９０】
（第１の実施の形態による効果）
次に、上述した第１の実施の形態の効果について説明する。
【００９１】
本実施の形態では、アクセス権管理装置１０の交渉情報生成手段１６００が、ポリシー編集手段１１００で新たに作成された資源共有ポリシーに対して、ポリシー単位毎に交渉を要するドメインのアクセス権管理装置１０を特定し、交渉情報を生成するよう構成されているため、必要最小限の交渉先に対して、必要最小限のポリシー記述量を伴った効率のよいポリシー交渉が実現できる。
【００９２】
また、ポリシー編集手段１１００で合意済みの資源共有ポリシーのうち、１つ以上のポリシー単位が修正・追加された場合、ポリシー編集手段１１００は、修正・追加されたポリシー単位をデジタル署名のない未合意ポリシーとして変更・追加し、かつ交渉情報生成手段１６００は未合意ポリシーのみについて、交渉情報を生成するように構成されているため、既に合意されたポリシー単位の再交渉を必要とせず、変更・追加箇所に限定した再交渉を実現できる。
【００９３】
なお、交渉情報生成手段１６００に、署名付与手段１５０６を備えることにより、ステップ６０２の動作において、一時記憶手段１６０１に格納される未合意ポリシー単位に対して、自ドメインの管理者（上記例においては、管理者Ａｄｍｉｎ（Ａ））のデジタル署名を自動的に付与するようにしてもよい。このようにしても、ドメイン管理者が自身で作成したポリシー単位に合意しないことは考えにくいので、セキュリティレベルが下げることなく、ポリシー交渉にかかる交渉情報の通信回数を少なくとも１回削減することが可能となる。
【００９４】
（第２の実施の形態）
【００９５】
図１７を参照すると、第２の実施の形態におけるアクセス権管理システムは、第１の実施の形態の共有資源２０に代えて、仮想化共有資源４０と、仮想化資源生成手段５０とを備える。
【００９６】
仮想化共有資源４０は、仮想サーバ、仮想ＰＣ、仮想ルータなど、バーチャルマシンモニタ（Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ Ｍｏｎｉｔｏｒ）やホストＯＳ上で動作する仮想的なコンピュータもしくはネットワーク機器である。
【００９７】
仮想化資源生成手段５０は、あるドメインが他ドメインに対して、コンピュータやネットワーク機器の共有を行いたい場合に、ドメイン管理者の指定により、バーチャルマシンモニタやホストＯＳを備えるサーバプール内に仮想化共有資源４を生成・配置する。また、生成した仮想化共有資源４０の識別名などをアクセス権管理装置１０の共有資源管理手段１３００に登録する。
【００９８】
アクセス権管理装置１０の共有資源管理手段１３００には、仮想化共有資源４０の識別名が格納される。また、ポリシー強制手段１７００は、仮想化共有資源４０に対して、資源共有ポリシーを設定する機能を有する。
【００９９】
本実施形態におけるアクセス権管理装置１０の動作は、第１の実施の形態における動作と全く同一である。また、仮想化共有資源４０は、ネットワークやファイル、ＡＰなどにおけるアクセス制御の点で物理的な共有資源２０と同一の動作を行う。以下、仮想化資源生成手段５０の動作について、具体的な例を用いて詳しく述べる。
【０１００】
まず、ドメインＡの管理者Ａｄｍｉｎ（Ａ）が、他のドメインＢの管理者Ａｄｍｉｎ（Ｂ）と新たにコンピュータ資源を共有したい時、管理者Ａｄｍｉｎ（Ａ）が仮想化資源生成手段５０に仮想コンピュータの生成指示を行うと、仮想化資源生成手段５０は仮想コンピュータのメモリやストレージの内容を直列化したＶＭイメージを内部的に備える二次記憶装置に生成する。このとき、共有に必要なアプリケーションなどを含むＶＭイメージのテンプレートを予め用意しておき、管理者Ａｄｍｉｎ（Ａ）に選択させる方法を用いても良い。
【０１０１】
次に、仮想化資源生成手段５０は、所定のバーチャルマシンモニタやホストＯＳを備えるサーバプール内のサーバコンピュータに、生成したＶＭイメージを配置し、新たな仮想化共有資源の稼動を指示する。このとき、サーバプール内のサーバコンピュータの負荷分布などに基づいて、負荷の低いサーバコンピュータを配置先として選択するようにしてもよい。
【０１０２】
そして、配置先のサーバコンピュータから仮想化共有資源に割り当てられた識別名（ＩＰアドレスなど）を問い合わせて取得し、当該識別名をドメインＡの共有資源として、アクセス権管理装置１０−Ａの共有資源管理手段１３００に登録する。さらに、共有相手であるドメインＢのアクセス権管理装置１０−Ｂの共有資源管理手段１３００に登録する。
【０１０３】
（第２の実施の形態による効果）
【０１０４】
本実施の形態では、ドメイン間で共有されるすべての資源が仮想化共有資源４０であるため、バーチャルマシンモニタやホストＯＳが保証する遮蔽性、すなわちポリシーで許可しない限り、仮想化共有資源４０が他ドメインとの仮想化共有資源やドメイン固有の資源にアクセスできないあるいはアクセスされないという性質により、資源共有に伴うワーム攻撃による他の資源への感染拡大や、共有資源で格納される情報を社内の非グループメンバから不正に盗まれるといった脅威を未然に防止することができる。
【０１０５】
（第３の実施の形態）
【０１０６】
図１８を参照すると、第３の実施形態におけるアクセス権管理システムは、アクセス権管理サーバ６０と、クライアント端末７０とを備え、第１ないし第２の実施形態におけるアクセス権管理装置１０を１つのアクセス権管理サーバとして集約した構成をもつ。
【０１０７】
アクセス権管理サーバ６０は、プログラム制御を行う中央処理プロセッサ（ＣＰＵ）６０１と、主記憶装置６０２と、二次記憶デバイス６０３と、クライアント端末７０との制御する通信手段６０４と、クライアント端末７０のドメイン所属を認証するドメイン認証手段６０５と、オペレーティングシステム６０６とを備えている。さらに、二次記憶デバイス６０３内に格納されたプログラムによってソフトウェア的に実現される、ポリシー編集手段１１００と、グループ管理手段１２００と、共有資源管理手段１３００と、ポリシー管理手段１４００と、ポリシー交渉手段１５００と、交渉情報生成手段１６００と、ポリシー強制手段１７００とを有する。
【０１０８】
クライアント端末７０は、ドメイン毎に配置されており、ＬＣＤなどの出力手段７０１と、キーボード・マウスなどの入力手段７０２と、アクセス権管理サーバ６０との通信を制御する通信手段７０３と、ドメイン証明手段７０４とを備える。
【０１０９】
この第３の実施の形態によるアクセス権管理システムの動作を、具体例を用いて詳細に説明する。
【０１１０】
まず、ドメインＡの管理者Ａｄｍｉｎ（Ａ）が、クライアント端末７０の入力手段７０２を介して、ポリシーの編集・交渉・強制などのポリシー操作指示を与えたとき、クライアント端末７０は、通信手段７０３を介して、ポリシー操作要求をアクセス権管理サーバ６０に送信する。なお、通信手段７０３は、ポリシー操作要求をアクセス権管理サーバ６０に送信する際、ドメイン証明手段７０４に格納されているドメイン認証情報を要求メッセージに含めて送信する。
【０１１１】
そして、アクセス権管理サーバ６０が、通信手段６０４でポリシー表示要求を受信すると、当該ポリシー表示要求に含まれるドメイン認証情報をドメイン認証手段６０５により、クライアント端末７０の所属ドメインがドメインＡであることを認証する。認証に失敗した場合、以降の処理を行わず、直ちに中断する。
【０１１２】
なお、ドメイン認証情報の好適な例としては、公開鍵暗号インフラストラクチャ（ＰＫＩ）に基づく公開鍵証明書がある。この場合、ドメイン認証手段６０５は公開鍵証明書の正当性を検証する。その他の好適な例としては、トラステッドプラットフォームモジュール（Ｔｒｕｓｔｅｄ Ｐｌａｔｆｏｒｍ Ｍｏｄｕｌｅ； ＴＰＭ）の機器認証メカニズムを適用してもよい。
【０１１３】
その後、アクセス権管理サーバ６０は、オペレーティングシステム６０６を介して、二次記憶デバイス６０３に格納されているプログラムによって実装されたポリシー編集手段１１００と、グループ管理手段１２００と、共有資源管理手段１３００と、ポリシー管理手段１４００と、ポリシー交渉手段１５００と、交渉情報生成手段１６００と、ポリシー強制手段１７００とを主記憶装置６０２にロードして、ドメインＡ用のアクセス権管理プロセスを生成して、前記のポリシー操作要求を入力する。
【０１１４】
生成されたアクセス権管理プロセスは、第１又は第２実施の形態におけるアクセス権管理装置１０の動作をエミュレートする。また、ポリシー交渉手段１５００がドメインＢのポリシー交渉手段１５００と通信を行う際にも、同様にしてドメインＢ用のアクセス権管理プロセスを生成する。
【０１１５】
（第３の実施の形態による効果）
以上のような構成により、本実施の形態によれば、アクセス権管理サーバ６０は、資源共有を行うドメインと無関係な第三者が運用できるので、ＡＳＰ型のアクセス権管理サービスが提供可能となる。
【０１１６】
なお、グループ管理手段１２００と、共有資源管理手段１３００と、ポリシー管理手段１４００と、を独立したプロセスとして実行させることで、任意のアクセス権管理プロセスから共有できるようにしてもよい。こうすることで、アクセス権管理サーバ６０の主記憶装置６０２と二次記憶デバイス６０３の利用の効率化が可能となる。
【０１１７】
また、図１９に示すように、ポリシー強制手段１７００をクライアント端末７０側に備えてもよい。こうすることで、共有資源２０又は仮想化共有資源４０はドメイン内にあるクライアント端末７０からのポリシー強制を受け付ければ十分であるので、より安全な構成となる。
【０１１８】
（第４の実施の形態）
【０１１９】
図２０と図２１を参照すると、第４の実施の形態におけるアクセス権管理システムは、第１ないし第２の実施の形態における、アクセス権管理装置１０の構成に加えて、矛盾検証手段１８００を備える点で相違する。
【０１２０】
この矛盾検証手段１８００は、一時記憶手段１８０１と、予め定められた制約条件を格納した制約管理手段１８０２と、制約充足性判定手段１８０３とを有する。
【０１２１】
矛盾検証手段１８００が、ポリシー交渉手段１５００から入力された交渉情報に含まれる全てのポリシー単位を一時記憶手段１８０１に格納した後、制約充足性判定手段１８０３が、制約管理手段１８０２から取得した制約条件と、一時記憶手段１８０１内の各ポリシー単位と前記制約条件を比較して、制約条件が満たされるか否かを判定し、その結果をポリシー交渉手段１５００の出力手段１５０４に出力する。
【０１２２】
本実施の形態によるアクセス権管理装置１０の動作を、図２２を参照しながら具体例を用いて詳細に説明する。なお、図２２のフローチャートにおいて、図１２と同じステップについては同じ符号を付している。
【０１２３】
今、ドメインＡの管理者Ａｄｍｉｎ（Ａ）のアクセス権管理装置１０−Ａから、図２３に示すようなポリシー単位を含む交渉情報をドメインＢの管理者Ａｄｍｉｎ（Ｂ）のアクセス権管理装置１０−Ｂが受信したと仮定する。また、管理者Ａｄｍｉｎ（Ｂ）が予めドメイン固有のセキュリティポリシーとして、ポリシー単位の要素（サブジェクト・オブジェクト・アクション）毎の識別名やロール、セキュリティラベルなどの属性定義と、属性に関する制約式と、その他変数などを含む制約条件を記述し、制約管理手段１８０２に格納しているものとする。
【０１２４】
制約条件の具体例としては、例えば、図２４に示すように、それぞれのグループメンバと共有資源とに割り当てた半順序関係をもつセキュリティラベルの定義と、Ｂｅｌｌ−ＬａＰａｄｕｌａモデルとしてよく知られる、ｒ−プロパティ（より大きいラベルを持つサブジェクトは、より小さいラベルを持つオブジェクトに対して、読み込みアクセスできるが、その逆は不可）と、＊−プロパティ（より小さいラベルを持つサブジェクトは、より大きいラベルを持つオブジェクトに対して、書き込みアクセスできるが、その逆は不可）を制約式として記述したものを挙げることができる。
【０１２５】
ここで、アクセス権管理装置１０−Ｂのポリシー交渉手段１５００が前記交渉情報を受信した後、ポリシー交渉手段１５００は、ステップ１２０２の後段であるステップ２２１２で、一時記憶手段１５０１に格納されている前記交渉情報に含まれる全ての未合意ポリシー単位を、矛盾検証手段１８００に入力して、前記制約条件に反する矛盾情報を取得する。
【０１２６】
ステップ２２１２において、まず、矛盾検証手段１８００が、検査対象である未合意ポリシー単位を一時記憶手段１８０１に格納した後、制約充足性判定手段１８０３が、制約管理手段１８０２から制約条件を取得する。そして、制約充足性判定手段１８０３は、一時記憶手段１８０１内の各ポリシー単位を入力として、当該制約条件に記載された制約式を評価する。
【０１２７】
例えば、図２４に示した上記制約条件の例を用いると、前記交渉情報に含まれるポリシー単位（図２３参照）が、ｒ−プロパティ違反として検出される。このとき、制約充足性判定手段１８０３は、例えば「このポリシー単位は読み込みに関する制約条件に違反しています」との矛盾情報を生成し、ポリシー交渉手段１５００に出力する。
【０１２８】
そして、ポリシー交渉手段１５００は、当該矛盾情報を受け取った後、ステップＢ３で、出力手段１５０４を介して、未合意ポリシー単位と共に前記矛盾情報を管理者Ａｄｍｉｎ（Ｂ）に向けて表示・警告する（図２５参照）。
【０１２９】
（第４の実施の形態による効果）
以上のような構成により、本実施形態におけるアクセス権管理システムは、管理者による未合意ポリシー単位に対する合意可否の意思決定における判断ミスを予防することができる。
【産業上の利用可能性】
【０１３０】
本発明によれば、業務提携や産学共同研究などの場面で、企業や大学などのシステム管理者が用いるアクセス権管理ツールといった用途に適用できる。また、セキュリティ運用管理サービスの一種として、アクセス権管理ＡＳＰサービスやポリシー交渉仲介ＡＳＰサービスといった用途にも適用することが可能である。
【図面の簡単な説明】
【０１３１】
【図１】本発明の第１の実施の形態によるアクセス権管理システムの構成を示すブロック図である。
【図２】本発明の第１の実施の形態によるアクセス権管理システムのポリシー編集手段の構成を示すブロック図である。
【図３】本発明の第１の実施の形態によるアクセス権管理システムのポリシー交渉手段の構成を示すブロック図である。
【図４】本発明の第１の実施の形態によるアクセス権管理システムの交渉情報生成手段の構成を示すブロック図である。
【図５】本発明の第１の実施の形態によるアクセス権管理システムの全体的な動作を示すフローチャートである。
【図６】本発明の第１の実施の形態によるアクセス権管理システムの交渉処理の内容を説明するフローチャートである。
【図７】本発明の第１の実施の形態におけるドメイン・管理者・アクセス権管理装置・共有資源の関係の一例を示す図である。
【図８】本発明の第１の実施の形態におけるポリシー編集手段が表示する画面例を示す図である。
【図９】資源共有ポリシーのフォーマットの一例を示す図である。
【図１０】本発明の第１の実施の形態における交渉情報生成手段におけるドメインとポリシー単位との格納形式の一例を示す図である。
【図１１】交渉情報のフォーマットの一例である。
【図１２】本発明の第１の実施の形態におけるポリシー交渉手段が行う未合意ポリシー単位の交渉ステップの詳細を示すフローチャートである。
【図１３】本発明の第１の実施の形態におけるポリシー交渉手段が表示する交渉画面例を示す図である。
【図１４】署名付のポリシー単位を含む交渉情報の一例を示す図である。
【図１５】本発明の第１の実施の形態におけるポリシー交渉手段が表示するエラー画面例を示す図である。
【図１６】本発明の第１の実施の形態におけるポリシー交渉手段の別の構成を示すブロック図である。
【図１７】本発明の第２の実施の形態によるアクセス権管理システムの構成を示すブロック図である。
【図１８】本発明の第３の実施の形態によるアクセス権管理システムの構成を示すブロック図である。
【図１９】本発明の第３の実施の形態におけるアクセス権管理サーバの別の構成を示すブロック図である。
【図２０】本発明の第４の実施の形態によるアクセス権管理システムの構成を示すブロック図である。
【図２１】本発明の第４の実施の形態における矛盾検証手段の構成を示すブロック図である。
【図２２】本発明の第４の実施の形態におけるポリシー交渉手段が行う未合意ポリシー単位の交渉ステップの詳細を示すフローチャートである。
【図２３】本発明の第４の実施の形態における交渉情報の別の一例を示す図である。
【図２４】本発明の第４の実施の形態における制約条件の一例を示す図である。
【図２５】本発明の第４の実施の形態におけるポリシー交渉手段が表示する交渉画面の一例を示す図である。
【符号の説明】
【０１３２】
１０ アクセス権管理装置
１１００ ポリシー編集手段
１１０１ 入力手段
１１０２ 一時記憶手段
１１０３ 出力手段
１２００ グループ管理手段
１３００ 共有資源管理手段
１４００ ポリシー管理手段
１５００ ポリシー交渉手段
１５０１ 一時記憶手段
１５０２ 送信手段
１５０３ 受信手段
１５０４ 出力手段
１５０５ 入力手段
１５０６ 署名検証手段
１５０７ 署名付与手段
１６００ 交渉情報生成手段
１６０１ 一時記憶手段
１６０２ ポリシー単位抽出手段
１６０３ 交渉先特定手段
１７００ ポリシー強制手段
１８００ 矛盾検証手段
１８０１ 一時記憶手段
１８０２ 制約管理手段
１８０３ 制約充足性判定手段
２０ 共有資源
４０ 仮想化共有資源
５０ 仮想化資源生成手段
６０ アクセス権管理サーバ
６０１ ＣＰＵ
６０２ 主記憶装置
６０３ 二次記憶デバイス
６０４ 通信手段
６０５ ドメイン認証手段
６０６ オペレーティングシステム
７０ クライアント端末
７０１ 出力手段
７０２ 入力手段
７０３ 通信手段
７０４ ドメイン証明手段
【技術分野】
【０００１】
本発明はアクセス権管理システム、アクセス権管理方法及びアクセス権管理用プログラムに関し、特に複数の管理者が存在する場合に、効率的かつ確実に合意を形成するためのアクセス権管理システム、アクセス権管理方法及びアクセス権管理用プログラムに関する。
【背景技術】
【０００２】
従来の大部分のアクセス権管理システムは、企業業務アプリケーションや企業ＬＡＮの運用に見られるように、単一組織内のユーザによるコンピュータやネットワーク機器等の資源へのアクセスを扱っている。近年、業務提携や産学共同研究などの隆盛により、複数の組織でアプリケーションサーバやストレージサーバ等を含む資源を共有することに対する関心が高まってきており、そうした共有資源に対するアクセスを管理するためのアクセス権管理システムが提案されるようになった。
【０００３】
そうしたアクセス権管理システムの一例が、特許文献１に記載されている。この特許文献１記載のアクセス権管理システムは、ワークフローに関するポリシーを策定するにあたり、ワークフローの構成要素となるタスクの担当者同士で、タスクの実行順序の調停を支援する。
【０００４】
具体的には、あるタスク（推移元）の担当者が、後段のタスク（推移先）を決定するにあたり、複数の推移先候補が存在する場合に、アクセス権管理システムが前記推移元担当者と推移先候補の各担当者とのメーリングリスト等のコミュニケーション場を生成して、（推移元担当者にとって）最適な推移先を決定することを支援する。前記コミュニケーション場では、例えば推移先タスクを完了するまでの工数や価格などが交渉され、推移元担当者の判断によって１つの推移先タスクが決定される。
【０００５】
また、アクセス権管理システムの他の一例が、特許文献２に記載されている。この特許文献２では、ネットワークドメインを超えたサービス利用の場面における、サービス提供装置（ドナー・フレームワーク）とサービス利用装置（レシーバ・フレームワーク）との間で行われる、サービス利用ポリシー（連合サービス合意）の締結方法が示されている。ここで、サービス利用ポリシーとは、サービス提供装置が提供する複数のサービスのうち、サービス利用装置による利用が認められるサービスを具体的に指示するデータを指す。
【０００６】
特許文献２記載のアクセス権管理方法によると、まずサービス利用装置がサービス提供装置に利用したいサービスのＩＤを送信すると、サービス提供装置がサービスレベルなどサービスの利用条件を示すデータ（サービストークン）をサービス利用装置に応答する。次に、サービス利用装置がサービストークンに記載された条件が十分であると判断した場合に、当該サービストークンに合意を示すデジタル署名を施し、サービス提供装置に送信する。その後、サービス提供装置は、さらにデジタル署名を施して、サービス利用装置に応答する。このようにして、サービス提供装置・利用装置双方のデジタル署名が施されたサービストークンは、以後、双方合意の下で策定されたサービス利用ポリシーとして使用される。
【０００７】
さらに、非特許文献１及び２には、異なる２つ以上の組織（ドメイン）で、データベースなどのサービス資源を共有する際に、当該共有資源へのアクセスに関するポリシー（アクセスポリシー）を策定・強制する方法が開示されている。しかし、いずれの方法も、あるドメインの管理者が、所定の共有資源を利用しようとするドメイングループの代表者として選任され、アクセスポリシーの策定を集中的に行うものである。
【特許文献１】特開２００６−９２０７３号公報（図２）
【特許文献２】特開２００６−５０６６９６号公報（図７Ｄ）
【非特許文献１】Greenwald, “A newsecurity policy for distributed resource management and access control”,Proceedings of the 1996 workshop on New Security Paradigms, 1996, pp. 74-86.
【非特許文献２】Vimercati and Samarati,“Access Control in Federated Systems”, Proceedings of the 1996 workshop on NewSecurity Paradigms, 1996, pp. 87-99.
【発明の開示】
【発明が解決しようとする課題】
【０００８】
一般に、アクセスポリシーは、アクセス主体（サブジェクト）・アクセス対象（オブジェクト）・アクセス動作（アクション）の３つ組を１つの単位（アクセスポリシー単位）として、それらアクセスポリシー単位のリストとして定義される。複数のドメインでサービス資源を共有する際に、共有の対象となるサービス資源に対するアクセスポリシーの策定については、上記非特許文献１及び２に一例としての開示される策定方法のように、特定のドメイン管理者もしくは第三者にアクセスアクセス権管理を一任するものであるため、委任されたドメイン管理者による、本来他のドメイン管理者から許されないアクセスポリシーの不公正な策定を許してしまうという問題があった。
【０００９】
そこで、資源を共有する主体となるドメイン管理者間でアクセスポリシーを交渉し、合意を得る必要があるが、アクセスポリシーの交渉・合意にあたっては、少なくとも以下の作業を実施する必要がある。
【００１０】
（１）あるドメイン管理者が作成したアクセスポリシー案を、他のドメイン管理者に提示する。
【００１１】
（２）他のドメイン管理者は、提示されたアクセスポリシーの中から、自身の承認を必要とするアクセスポリシー単位を特定・検証する。
【００１２】
（３）さらに他のドメイン管理者は、特定されたアクセスポリシー単位について、承認・却下・対案提示などのリアクションを行い、（１）と同様に他のドメイン管理者に提示する。
【００１３】
（４）全てのアクセスポリシー単位に必要なドメイン管理者全員の承認が得られたとき、当該アクセスポリシーを合意済みアクセスポリシーとして、全てのドメイン管理者が各自保管する。
【００１４】
しかし、上記した従来のアクセス権管理方法のいずれを用いても、以下のような問題点があるために、これら４ステップの作業が効率的かつ確実に行われることをシステム的に保証することができなかった。
【００１５】
第１の問題点は、ドメイン管理者間のアクセスポリシー交渉の効率化が不十分、ということである。
【００１６】
その理由は、特許文献１記載のアクセス権管理方法においては、上記ステップ（１）と（３）を行うコミュニケーション場を生成することで交渉の効率化を図るが、ステップ（２）の作業が含まれておらず、多数のアクセスポリシー単位を含むアクセスポリシーの交渉にあっては、多数の無関係なアクセスポリシー単位が存在し、検証の効率を低下させるためである。
【００１７】
第２の問題点は、対案提示や合意後の修正が考慮されていない、ということである。
【００１８】
その理由は、特許文献２記載のアクセス権管理方法は、上記ステップ（１）、（３）、（４）を実現する一例であるが、ステップ（３）において対案提示を行う方法が示されていない。また、ステップ（４）の後、あるドメイン管理者がアクセスポリシーを一部修正したい場合に上記４ステップを改めて実施する必要があるが、特許文献２記載のアクセス権管理方法では、部分的な合意を考慮していないため、未修正部分も含めて上記４ステップによる交渉を再度実施しなければならない。
【００１９】
（発明の目的）
【００２０】
本発明の目的は、複数のドメインでサービス資源を共有する際に、共有の対象となるサービス資源に対するアクセスポリシーを、ドメイン管理者らの合意の下で策定するにあたり、効率的かつ確実な合意の形成を支援できるアクセス権管理システム、サーバ及びアクセス権管理プログラムを提供することにある。
【００２１】
本発明の他の目的は、対案提示や合意後の修正についても、必要なドメイン管理者らによる再合意を促すことのできるアクセス権管理システム、サーバ及びアクセス権管理プログラムを提供することにある。
【課題を解決するための手段】
【００２２】
上記目的を達成する本発明のアクセス権管理システムは、資源共有ポリシーを作成し、複数のドメイン管理者間による資源共有ポリシーの交渉処理を行うアクセス権管理装置をドメイン毎に備え、前記資源共有ポリシーを作成した前記アクセス権管理装置が、前記資源共有ポリシーを構成するポリシー単位毎に、当該ポリシー単位の交渉先である前記アクセス権管理装置を特定し、特定した前記アクセス権管理装置の識別名と交渉対象となる前記ポリシー単位とを含む交渉情報を生成し、前記交渉情報を前記特定のアクセス権管理装置に送信し、前記交渉情報を送信した前記特定のアクセス権管理装置から、全ての前記ポリシー単位に対する合意の指示があった場合に、前記資源共有ポリシーを共有資源に設定することを特徴とする。
【００２３】
請求項２によるアクセス権管理システムは、前記アクセス権管理装置が、前記資源共有ポリシーを作成・編集するポリシー編集手段と、資源共有を行うユーザやドメイン管理者、前記アクセス権管理装置の識別情報と、前記ドメインとの関係を含むドメイン情報を格納するグループ管理手段と、共有資源の識別名と前記ドメインとを対応付けて格納する共有資源管理手段と、前記資源共有ポリシーから交渉先の前記ドメインと交渉を要する前記ポリシー単位を抽出し、前記グループ管理手段と前記共有資源管理手段を参照して、前記交渉情報を生成する交渉情報生成手段と、前記資源共有ポリシーの前記ポリシー単位について前記特定のアクセス権管理装置から合意を得る交渉処理を実行するポリシー交渉手段と、合意済みの資源共有ポリシーのみを共有資源に設定するポリシー強制手段とを備えることを特徴とする。
【００２４】
請求項３によるアクセス権管理システムは、前記ポリシー編集手段が前記資源共有ポリシーを新規に作成し又は変更したとき、前記交渉情報生成手段が、前記資源共有ポリシーを前記ポリシー単位に分割し、前記ポリシー単位毎に、ユーザの識別名の所属ドメインを前記グループ管理手段に問い合わせ、又は共有資源の識別名の所属ドメインを共有資源管理手段に問い合わせることにより、当該ポリシー単位の交渉先を特定し、交渉先の前記アクセス権管理装置の識別名のリストと交渉対象となるポリシー単位とを含む交渉情報を生成することを特徴とする。
【００２５】
請求項４によるアクセス権管理システムは、前記ポリシー交渉手段が、前記交渉情報生成手段が生成した前記交渉情報を、当該交渉情報に含まれる前記アクセス権管理装置に送信し、当該アクセス権管理装置から、前記交渉情報に含まれるポリシー単位に対する合意指示が得られたときに、前記アクセス権管理装置のドメイン管理者のデジタル署名を当該ポリシー単位に付与することを特徴とする。
【００２６】
請求項５によるアクセス権管理システムは、前記ポリシー交渉手段が、前記資源共有ポリシーの前記ポリシー単位に付与された前記デジタル署名の有無を検証し、合意がなされたと判定した場合に、資源共有ポリシーを合意済みのポリシー単位で更新することを特徴とする。
【００２７】
請求項６によるアクセス権管理システムは、前記共有資源が、仮想的な共有資源であり、前記仮想的な共有資源を生成して前記アクセス権管理装置に仮想化共有資源情報を登録する仮想化資源生成手段を備えることを特徴とする。
【００２８】
（作用）
ポリシー編集手段が資源共有ポリシーを新規に作成又は変更したとき、交渉情報生成手段が、資源共有ポリシーを構成する要素（ポリシー単位）に分割して、ポリシー単位毎に、ユーザの識別名（サブジェクト）の所属ドメインをグループ管理手段に問い合わせ、又は共有資源の識別名（オブジェクト）の所属ドメインを共有資源管理手段に問い合わせて、当該ポリシー単位の交渉先を特定して、アクセス権管理装置の識別名のリストと交渉対象となるポリシー単位とを含む交渉情報を生成する。
【００２９】
また、ポリシー交渉手段は、交渉情報生成手段が生成した交渉情報を、当該交渉情報で指定されたアクセス権管理装置に送信し、送信したアクセス権管理装置からドメイン管理者により、交渉情報に含まれるポリシー単位に対する合意指示が得られたときに、ドメイン管理者のデジタル署名を当該ポリシー単位に付与する。また、デジタル署名の存在を確認して、合意がなされたと判定した場合に、資源共有ポリシーを合意済みのポリシー単位で更新し、ポリシー強制手段が、合意済みポリシー単位で構成される資源共有ポリシーのみを、共有資源に設定する。
【発明の効果】
【００３０】
本発明によれば、以下のような効果を実現できる。
【００３１】
新たに作成された資源共有ポリシーに対して、ポリシー単位毎に交渉を要するドメインのアクセス権管理装置を特定し、交渉情報を生成するよう構成されているため、必要最小限の交渉先に対して、必要最小限のポリシー記述量を伴った効率のよいポリシー交渉を実現することができる。
【００３２】
また、合意済みの資源共有ポリシーのうち、１つ以上のポリシー単位が修正又は追加された場合、修正又は追加されたポリシー単位を未合意のポリシーとして更新し、かつ未合意ポリシーのみについて、交渉情報を生成するように構成されているため、既に合意されたポリシー単位の再交渉を必要とせず、変更や追加箇所に限定した再交渉を実現することができる。
【発明を実施するための最良の形態】
【００３３】
次に、発明を実施するための最良の形態について図面を参照して詳細に説明する。
【００３４】
（第１の実施の形態）
図１を参照すると、本発明の第１の実施の形態は、組織毎にアクセス権管理装置１０と、コンピュータやストレージなどの共有資源２０とを有し、アクセス権管理装置１０は別組織のアクセス権管理装置１０−１〜１０−Ｎと接続されている。
なお、アクセス権管理装置１０及び別組織のアクセス権管理装置１０−１〜１０−Ｎについてはそれぞれ共通の構成であるので、以下アクセス権管理装置１０の構成のみについて説明する。
【００３５】
アクセス権管理装置１０は、ポリシー編集手段１１００と、グループ管理手段１２００と、共有資源管理手段１３００と、ポリシー管理手段１４００と、ポリシー交渉手段１５００と、交渉情報生成手段１６００と、ポリシー強制手段１７００とを備える。
【００３６】
ポリシー編集手段１１００は、図２に示すように、管理者による資源共有ポリシーの編集操作を受け付けるためのキーボードやマウスなどの入力手段１１０１と、編集中のポリシーやその他必要な作業データを一時記憶するための一時記憶手段１１０２と、一時記憶手段１１０２に記憶されているポリシーを表示するＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）などの出力手段１１０３とを備える。
【００３７】
そして、ポリシー編集手段１１００は、入力手段１１０１から新たなポリシー編集指示が得られた際に、ポリシー管理手段１４００から当該指示に応じた資源共有ポリシーを抽出し、一時記憶手段１１０２に記憶すると共に、出力手段１１０３を介して当該資源共有ポリシーを管理者に対して提示する。
【００３８】
また、ポリシー編集手段１１００の入力手段１１０１から新たなポリシー又はポリシー単位の作成要求が入力された場合には、グループ管理手段１２００から資源共有に関係するドメインのユーザ識別名などを含むドメイン情報を抽出し、共有資源管理手段１３００からグループで共有する資源情報を抽出し、当該ドメイン情報及び資源情報を一時記憶手段１１０２に記憶したのち、出力手段１１０３を介して管理者に対して提示する。
【００３９】
そして、入力手段１１０１から新規又は更新されたポリシー単位の入力を受け付けて、当該ポリシー単位を一時記憶手段１１０２に蓄積されている資源共有ポリシーへ追加又は更新する。
【００４０】
さらに、入力手段１１０１からポリシー交渉指示があった際は、一時記憶手段１１０２に蓄積されている資源共有ポリシーをポリシー交渉手段１５００に入力し、ポリシー交渉手段１５００が出力する新しい資源共有ポリシーで、一時記憶手段１１０２内の古い資源共有ポリシーを置き換える。
【００４１】
あるいは、入力手段１１０１からポリシー登録指示があった際は、一時記憶手段１１０２に蓄積されている資源共有ポリシーを、ポリシー管理手段１４００に入力して、記録する。
【００４２】
また、入力手段１１０１からポリシー強制指示が入力された場合は、一時記憶手段１１０２に蓄積されている資源共有ポリシーを、ポリシー強制手段１７００に入力して、自組織の共有資源２０へ強制的に設定する。
【００４３】
グループ管理手段１２００は、ハードディスク装置（ＨＤＤ）等の二次記憶デバイスを用いて、グループを構成する各組織のドメイン情報を格納し、ポリシー編集手段１１００や交渉情報生成手段１６００からの問い合わせに応じて、保管されているドメイン情報を抽出・出力する。
【００４４】
共有資源管理手段１３００は、ハードディスク装置（ＨＤＤ）等の二次記憶デバイスを用いて、グループで共有するコンピュータやストレージなどの資源情報をドメインと対応付けて格納し、ポリシー編集手段１１００や交渉情報生成手段１６００からの問い合わせに応じて、保管されている資源情報を抽出・出力する。
【００４５】
ポリシー管理手段１４００は、ハードディスク装置（ＨＤＤ）等の二次記憶デバイスを用いて、ポリシー編集手段１１００から入力されたグループの資源共有ポリシーを保管するとともに、ポリシー編集手段１１００の問い合わせに応じて、保管されている資源共有ポリシーを出力する。
【００４６】
ポリシー交渉手段１５００は、図３に示すように、作業データを一時記憶する一時記憶手段１５０１と、送信手段１５０２と、受信手段１５０３と、ＬＣＤなどの出力手段１５０４と、入力手段１５０５と、署名付与手段１５０６と、署名検査手段１５０７とを備える。
【００４７】
ポリシー交渉手段１５００が、ポリシー編集手段１１００から入力された資源共有ポリシーを、交渉情報生成手段１６００に入力して、得られた交渉情報を一時記憶手段１５０１に格納した後、送信手段１５０２は、一時記憶手段１５０１内の交渉情報を参照しながら、交渉の対象となる１つ以上のポリシー単位を適切なアクセス権管理装置１０−１ないし１０−Ｎに送信する。
【００４８】
受信手段１５０３は、他のアクセス権管理装置１０−１ないし１０−Ｎから送信される１つ以上のポリシー単位を受信し、一時記憶手段１５０１に格納する。
【００４９】
出力手段１５０４は、一時記憶手段１５０１に格納されている受信したポリシー単位を管理者に向けて表示する。
【００５０】
入力手段１５０５は、管理者によるポリシー単位への合意指示を受け付ける。
【００５１】
署名付与手段１５０６は、入力手段１５０５で得られた合意指示に応じて、合意対象であるポリシー単位にデジタル署名を付与したポリシー単位を、一時記憶装置１５０１に格納する。
【００５２】
署名検査手段１５０７は、一時記憶装置１５０１内のポリシー単位を参照して、デジタル署名を検査して合意済みか否かを判定する。
【００５３】
交渉情報生成手段１６００は、図４に示すように、作業データを一時記憶する一時記憶手段１６０１と、ポリシー単位抽出手段１６０２と、交渉先特定手段１６０３とを備える。
【００５４】
交渉情報生成手段１６００が、ポリシー交渉手段１５００から入力された資源共有ポリシーを一時記憶手段１６０１に格納した後、ポリシー単位抽出手段１６０２が、一時記憶手段１６０１に格納されている資源共有ポリシーを参照して、合意が成立していないポリシー単位（未合意ポリシー単位）を抽出し、一時記憶手段１６０１に格納する。
【００５５】
そして、交渉先特定手段１６０３が、一時記憶手段１６０１に格納されている各未合意ポリシー単位を参照しながら、グループ管理手段１２００及び共有資源管理手段１３００から関係するドメイン情報と資源情報を取得して、交渉を要する管理者のアクセス権管理装置１の識別名（ＤＮＳ名やＩＰアドレスなど）を一時記憶手段１６０１に格納する。
【００５６】
その後、交渉情報生成手段１６００が、一時記憶手段１６０１に格納されているアクセス権管理装置１の識別名と、関連する未合意ポリシー単位とを含む交渉情報を生成し、ポリシー交渉手段１５００に出力する。
【００５７】
ポリシー強制手段１７００は、作業データを格納するための一時記憶手段１７０１と、署名検証手段１７０２と、設定手段１７０３とを備える。
【００５８】
ポリシー編集手段１１００から入力された資源共有ポリシーを一時記憶手段１７０１に格納した後、署名検証手段１７０１が、一時記憶手段１７０１内の資源共有ポリシーに含まれる全てのポリシー単位のデジタル署名を検証して合意済みか否かの判定を行う。
【００５９】
設定手段１７０２は一時記憶手段１７０１内の資源共有ポリシーを、所定のアクセス権記述フォーマットに変換して、共有資源２０に設定する。
【００６０】
次に、図１及び図５、図６のフローチャートを参照して、本実施形態におけるアクセス権管理装置１の動作について、詳細に説明する。
【００６１】
なお、以下の説明では、図７に示す通り、アクセス権管理装置１０−ＡがドメインＡの管理者Ａｄｍｉｎ（Ａ）が用い、アクセス権管理装置１０−Ｂと１０−ＣをそれぞれドメインＢの管理者Ａｄｍｉｎ（Ｂ）とドメインＣの管理者Ａｄｍｉｎ（Ｃ）が用いるものとし、これら３者間で各ドメインから提供される共有資源２０−Ａ、２０−Ｂ、２０−Ｃに対する資源共有ポリシーを交渉して策定するものとする。
【００６２】
まず、上記３管理者のうち、何れかの管理者のアクセス管理装置１０−Ａ、１０−Ｂないし１０−Ｃによって、資源共有ポリシーが新規に作成される（図５のステップ５０１）。例えば、管理者Ａｄｍｉｎ（Ａ）のアクセス権管理装置１０−Ａによって新たに作成するとき、アクセス権管理装置１０−Ａのポリシー編集手段１１００が、出力手段１１０３を介して、図８に示すような画面を管理者Ａｄｍｉｎ（Ａ）に対して表示すると共に、管理者Ａｄｍｉｎ（Ａ）からのポリシー編集操作を受け付けながら、一時記憶手段１１０２内に新規の資源共有ポリシーを生成する。
【００６３】
このとき、資源共有ポリシーの編集作業を簡便にするため、ポリシー編集手段１１００が、グループ管理手段１２００から資源共有を行うドメインＡ、Ｂ及びＣに属するグループメンバを含むドメイン情報を取得して、出力手段１１０３へ出力したり、共有資源管理手段１３００から共有されるドメインＡ、Ｂ及びＣに属するサーバコンピュータ名などを含む資源情報を取得して、出力手段１１０３へ出力したりすることができる。
【００６４】
また、ここで生成される資源共有ポリシーは、少なくとも以下の情報を含み、例えば、図９に示すようなＸＭＬ構文に従った記述形式を有することが望ましい。
（１）ポリシー作成に供したアクセス権管理装置の識別名（例えば、アクセス権管理装置１０−ＡのＩＰアドレス等）
（２）ポリシーを作成した日時または版番号
（３）１つ以上のサブジェクト、オブジェクト及びアクションの３つ組からなる「ポリシー単位」
【００６５】
次に、管理者Ａｄｍｉｎ（Ａ）は新規に作成した資源共有ポリシーの登録処理を行う（ステップ５０２）。このとき、アクセス権管理装置１０−Ａのポリシー編集手段１１００は、例えば、図８の画面例で登録ボタンを押下するなどして管理者Ａｄｍｉｎ（Ａ）によって与えられたポリシー登録指示に応じて、一時記憶手段１１０２内に格納されている資源共有ポリシーを、ポリシー管理手段１４００に出力する。ポリシー管理手段１４００は、入力された資源共有ポリシーを二次記憶デバイスに格納する。このとき、当該資源共有ポリシーのすべてのポリシー単位は「未合意」であり、図９の例に見られるように、ポリシー単位に相当するＸＭＬ要素に対して一切のデジタル署名が付与されないまま格納される。
【００６６】
さらに、管理者Ａｄｍｉｎ（Ａ）は登録した資源共有ポリシーについて、他の管理者Ａｄｍｉｎ（Ｂ）ないし管理者Ａｄｍｉｎ（Ｃ）から合意を得るための交渉処理を行う（ステップ５０３）。このとき、アクセス権管理装置１０−Ａのポリシー編集手段１１００が、例えば図８の画面例で交渉ボタンを押下するなどして管理者Ａｄｍｉｎ（Ａ）によって与えられたポリシー交渉指示に応じて、一時記憶１１０２又はポリシー管理手段１４００に格納されている資源共有ポリシーをポリシー交渉手段１５００に入力する。このとき、ポリシー交渉手段１５００は合意を得るための交渉処理を図６のフローチャートに示す手順で行う。
【００６７】
まず、ポリシー交渉手段１５００は、交渉を要する管理者のアクセス権管理装置と交渉対象となるポリシー単位を特定するために、資源共有ポリシーを交渉情報生成手段１６００へ入力する（図６のステップ６０１）。この際、交渉情報生成手段１６００は、当該資源共有ポリシーを一時記憶手段１６０１に格納し、ポリシー単位抽出手段１６０２は、一時記憶手段１６０１に格納されている資源共有ポリシーの各ポリシー単位を参照しながら、未合意であるもの（未合意ポリシー単位）を一時記憶手段１６０１から抽出する（ステップ６０２）。
【００６８】
そして、交渉先特定手段１６０３は、一時記憶手段１６０１内の各未合意ポリシー単位を参照しながら、サブジェクトとオブジェクトに対応する、それぞれのドメイン情報と資源情報をグループ管理手段１２００と共有資源管理手段１３００にそれぞれ問い合わせて取得し、得られたドメイン情報と資源情報とから交渉先となる管理者のアクセス権管理装置１０−Ｂ又は１０−Ｃの識別名（好適にはＤＮＳ名やＩＰアドレスなど）を抽出して、図１０に示すように、対応する未合意ポリシー単位と関連づけた形で一時記憶手段１６０１に格納する（ステップ６０３）。
【００６９】
その後、交渉情報生成手段１６００が、一時記憶手段１６０１を走査して、アクセス権管理装置１０−Ｂ又は１０−Ｃの識別名毎に関連づけられた未合意ポリシー単位を抽出し、図１１のように識別名及び１つ以上の未合意ポリシー単位を含む交渉情報を生成して、ポリシー交渉手段１５００へ出力する（ステップ６０４）。
【００７０】
次に、ポリシー交渉手段１５００は、交渉情報生成手段１６００から得られたすべての交渉情報を一時記憶手段１５０１に格納した後、送信手段１５０２が、一時記憶手段１５０１に格納されたそれぞれの交渉情報を参照しながら、交渉情報に含まれる識別名を基にアクセス権管理装置１０−Ｂ又は１０−ＣのＩＰアドレスを特定し、当該交渉情報をアクセス権管理装置１０−Ｂ又は１０−Ｃに送信し（ステップ６０５）、同じく交渉情報に含まれる未合意ポリシー単位について管理者Ａｄｍｉｎ（Ａ）、管理者Ａｄｍｉｎ（Ｂ）、管理者Ａｄｍｉｎ（Ｃ）の３者で交渉して得られる合意済みポリシー単位によって、アクセス権管理装置１０−Ａないし１０−Ｃの資源共有ポリシーを更新する（ステップ６０６、６０７）。
【００７１】
図６、図１２を参照しながら、具体例を用いて、ステップ６０５〜６０７をより詳細に説明する。今、ステップ６０４までで図１１に示す交渉情報が生成されたものとする。この交渉情報のアクセス権管理装置の識別名リストを参照すると、アクセス権管理装置１０−Ａ（識別名：ｐｏｌｉｃｙ−ｓｅｒｖｅｒ＠ｄｏｍａｉｎＡ．ｃｏｍ）とアクセス権管理装置１０−Ｂ（識別名：ｐｏｌｉｃｙ−ｓｅｒｖｅｒ＠ｄｏｍａｉｎＢ．ｃｏｍ）との間で交渉が必要であることがわかるので、アクセス権管理装置１０−Ａの送信手段１５０２は、当該交渉情報をアクセス権管理装置１０−Ｂへ送信する（ステップ６０５）。
【００７２】
アクセス権管理装置１０−Ｂは、交渉情報を、ポリシー交渉手段１５００の受信手段１５０３で受信し、一時記憶手段１５０１に格納する（図１２のステップ１２０１）。その後、署名検証手段１５０７が、一時記憶手段１５０１内の交渉情報に含まれる未合意ポリシー単位を参照しながら、デジタル署名の有無と正当性を検証する（ステップ１２０２）。
【００７３】
ここでは未合意ポリシー単位に一切のデジタル署名がないので、署名検証手段１５０７は確かに未合意であると判定し、出力手段１５０４を介して管理者Ａｄｍｉｎ（Ｂ）に向けて、例えば図１３に示すように表示する（ステップ１２０３）。
【００７４】
管理者Ａｄｍｉｎ（Ｂ）によって未合意ポリシー単位の内容が確認されると、合意ボタンを押下するなどの操作によって入力手段１５０５を介して合意指示が入力される（ステップ１２０４）。
【００７５】
合意指示が入力された場合、署名付与手段１５０６は、当該未合意ポリシー単位に対して管理者Ａｄｍｉｎ（Ｂ）のデジタル署名を付与して、一時記憶手段１５０１内の交渉情報の未合意ポリシー単位を更新する（ステップ１２０５）。
【００７６】
その後、署名検証手段１５０７によって、更新されたポリシー単位のデジタル署名の検証がなされ、管理者Ａｄｍｉｎ（Ａ）のデジタル署名がないので、依然として未合意ポリシー単位と判断される（ステップ１２０６）。そして、送信手段１５０２が、一時記憶手段１５０１内の管理者Ａｄｍｉｎ（Ｂ）のデジタル署名が付与された、未合意ポリシー単位を含む交渉情報（図１４参照）を、アクセス権管理装置１０−Ａに送信する（ステップ１２１１）。
【００７７】
一方、管理者Ａｄｍｉｎ（Ｂ）が合意しない場合、入力手段１５０５を介して、未合意ポリシー単位に対して、却下の指示を入力し又は未合意ポリシー単位に対して追加・修正・削除などの変更を加えることができる（ステップ１２０８）。
【００７８】
ステップ１２０８で、却下ボタンを押下するなどの操作により却下指示が入力された場合、ポリシー交渉手段１５００は、一時記憶手段１５０１内の交渉情報の中から、却下されたポリシー単位を削除した上で、送信手段１５０２を介してアクセス権管理装置１０−Ａに送信する（ステップ１２１１）。
【００７９】
あるいは、入力手段１５０５を介して未合意ポリシー単位に変更を加えた場合、ポリシー交渉手段１５００が変更された０以上の未合意ポリシー単位で、一時記憶手段１５０１内の交渉情報の未合意ポリシー単位を置き換えた後、送信手段１５０２を介してアクセス権管理装置１０−Ａに送信する（ステップ１２１１）。
【００８０】
なお、ステップ１２０８で、変更後の未合意ポリシー単位に、ドメインＡとドメインＢ以外のサブジェクト・オブジェクトが含まれているかどうかを検査し、例えば、「ＵＣ１＠ｄｏｍａｉｎＣ」などのサブジェクトが含まれている場合に、そうした変更をエラーとして、管理者Ａｄｍｉｎ（Ｂ）に再修正を求めるようにしてもよい（図１５参照）。図１５においては、ドメインＣの管理者Ａｄｍｉｎ（Ｃ）のアクセス権管理装置１０−Ｃに対して表示させたエラーメッセージの例を示している。
【００８１】
このような検査は、交渉情報生成手段１６００の交渉先特定手段１６０３と同等の機能を有する交渉先特定手段１６０３Ａをポリシー交渉手段１５００に備えることで実現できる（図１５参照）。こうすることにより、ドメインＣに属するサブジェクト又はオブジェクトを含むポリシー単位に対して、管理者Ａｄｍｉｎ（Ａ）、管理者Ａｄｍｉｎ（Ｂ）の間でたとえ合意が成立したとしても、後述するポリシー強制手段１７００の動作により、共有資源２０に対して設定不能な資源共有ポリシーが生成されることになるので、そうした不具合を事前に回避することができる。
【００８２】
次に、アクセス権管理装置１０−Ａのポリシー交渉手段１５００の受信手段１５０３が、アクセス権管理装置１０−Ｂから送信された交渉情報を受信すると、上記ステップ１２０１〜１２０９と同様の動作により、受信した交渉情報を更新し、再びアクセス権管理装置１０−Ｂに送信する。
【００８３】
なお、ステップ１２０４で、管理者Ａｄｍｉｎ（Ｂ）のデジタル署名が付与された未合意ポリシー単位に対して、管理者Ａｄｍｉｎ（Ａ）が合意指示を出すと、署名付与手段１５０６が、当該ポリシー単位に管理者Ａｄｍｉｎ（Ａ）のデジタル署名をさらに付与し（ステップ１２０５）、続いて署名検証手段１５０７が「合意済みポリシー単位」と判定してポリシー管理手段１４００へ入力し（ステップ１２０６）、ポリシー管理手段１４００が当該合意済みポリシー単位で資源共有ポリシーを更新する（ステップ１２０７）。そして、送信手段１５０２が当該合意済みポリシー単位を含む交渉情報をアクセス権管理装置１０−Ｂに再び送信する（ステップ１２１１）。
【００８４】
その後、アクセス権管理装置１０−Ｂのポリシー交渉手段１５００の受信手段１５０３が、前記交渉情報を受信すると、署名検証手段１５０７が合意済みポリシー単位を検出する（ステップ１２０２）。このとき、署名検証手段１５０７は、受信した交渉情報に含まれる合意済みポリシー単位をポリシー管理手段１６００に入力して、資源共有ポリシーを更新する（ステップ１２０９）。
【００８５】
その後、交渉情報に未合意ポリシー単位があるか否かを判定し（ステップ１２１０）、あれば未合意ポリシー単位を出力手段１５０４に入力して、上記ステップ１２０３以降の処理を継続する。一方、ステップ１２１０で、未合意ポリシー単位が含まれない場合は、ポリシー交渉が完了したと判定して処理を終了する。
【００８６】
最後に、アクセス権管理装置１０−Ａのポリシー編集手段１１００を用いて、管理者Ａｄｍｉｎ（Ａ）からの指示により資源共有ポリシーをドメインＡの共有資源２０−Ａに強制的に設定する（ステップ６０８）。このとき、アクセス権管理装置１０−Ａのポリシー編集手段１１００は、管理者Ａｄｍｉｎ（Ａ）から強制指示が与えられた資源共有ポリシーを、ポリシー強制手段１７００に入力する。
【００８７】
ポリシー強制手段１７００は、入力された資源共有ポリシーを一時記憶手段１７０１に格納する。その後、署名検証手段１７０１は、一時記憶手段１７０１内の資源共有ポリシーに含まれる全てのポリシー単位を参照しながら、サブジェクト・オブジェクトを、それぞれグループ管理手段１２００と共有資源管理手段１３００に問い合わせることにより、所属するドメインを確認し、得られたドメインの管理者によるデジタル署名の有無を検証する。
【００８８】
例えば、ドメインＡのサブジェクト ＵＡ１＠ｄｏｍａｉｎＡとドメインＢのオブジェクトＳＢ１＠ｄｏｍａｉｎＢが現れる場合、管理者Ａｄｍｉｎ（Ａ）のデジタル署名と管理者Ａｄｍｉｎ（Ｂ）のデジタル署名とが共に付与されていることを検証する。少なくとも一方のデジタル署名が欠けている場合、未合意ポリシー単位が含まれると判定して、以降の処理を中断する。
【００８９】
そして、全てのポリシー単位について、合意済みと判定された場合に限り、設定手段１７０２が資源共有ポリシーを、所定のアクセス権記述フォーマット（例えばＩＰフィルタリングルールなど）に変換して、共有資源２０−Ａに設定する。
【００９０】
（第１の実施の形態による効果）
次に、上述した第１の実施の形態の効果について説明する。
【００９１】
本実施の形態では、アクセス権管理装置１０の交渉情報生成手段１６００が、ポリシー編集手段１１００で新たに作成された資源共有ポリシーに対して、ポリシー単位毎に交渉を要するドメインのアクセス権管理装置１０を特定し、交渉情報を生成するよう構成されているため、必要最小限の交渉先に対して、必要最小限のポリシー記述量を伴った効率のよいポリシー交渉が実現できる。
【００９２】
また、ポリシー編集手段１１００で合意済みの資源共有ポリシーのうち、１つ以上のポリシー単位が修正・追加された場合、ポリシー編集手段１１００は、修正・追加されたポリシー単位をデジタル署名のない未合意ポリシーとして変更・追加し、かつ交渉情報生成手段１６００は未合意ポリシーのみについて、交渉情報を生成するように構成されているため、既に合意されたポリシー単位の再交渉を必要とせず、変更・追加箇所に限定した再交渉を実現できる。
【００９３】
なお、交渉情報生成手段１６００に、署名付与手段１５０６を備えることにより、ステップ６０２の動作において、一時記憶手段１６０１に格納される未合意ポリシー単位に対して、自ドメインの管理者（上記例においては、管理者Ａｄｍｉｎ（Ａ））のデジタル署名を自動的に付与するようにしてもよい。このようにしても、ドメイン管理者が自身で作成したポリシー単位に合意しないことは考えにくいので、セキュリティレベルが下げることなく、ポリシー交渉にかかる交渉情報の通信回数を少なくとも１回削減することが可能となる。
【００９４】
（第２の実施の形態）
【００９５】
図１７を参照すると、第２の実施の形態におけるアクセス権管理システムは、第１の実施の形態の共有資源２０に代えて、仮想化共有資源４０と、仮想化資源生成手段５０とを備える。
【００９６】
仮想化共有資源４０は、仮想サーバ、仮想ＰＣ、仮想ルータなど、バーチャルマシンモニタ（Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ Ｍｏｎｉｔｏｒ）やホストＯＳ上で動作する仮想的なコンピュータもしくはネットワーク機器である。
【００９７】
仮想化資源生成手段５０は、あるドメインが他ドメインに対して、コンピュータやネットワーク機器の共有を行いたい場合に、ドメイン管理者の指定により、バーチャルマシンモニタやホストＯＳを備えるサーバプール内に仮想化共有資源４を生成・配置する。また、生成した仮想化共有資源４０の識別名などをアクセス権管理装置１０の共有資源管理手段１３００に登録する。
【００９８】
アクセス権管理装置１０の共有資源管理手段１３００には、仮想化共有資源４０の識別名が格納される。また、ポリシー強制手段１７００は、仮想化共有資源４０に対して、資源共有ポリシーを設定する機能を有する。
【００９９】
本実施形態におけるアクセス権管理装置１０の動作は、第１の実施の形態における動作と全く同一である。また、仮想化共有資源４０は、ネットワークやファイル、ＡＰなどにおけるアクセス制御の点で物理的な共有資源２０と同一の動作を行う。以下、仮想化資源生成手段５０の動作について、具体的な例を用いて詳しく述べる。
【０１００】
まず、ドメインＡの管理者Ａｄｍｉｎ（Ａ）が、他のドメインＢの管理者Ａｄｍｉｎ（Ｂ）と新たにコンピュータ資源を共有したい時、管理者Ａｄｍｉｎ（Ａ）が仮想化資源生成手段５０に仮想コンピュータの生成指示を行うと、仮想化資源生成手段５０は仮想コンピュータのメモリやストレージの内容を直列化したＶＭイメージを内部的に備える二次記憶装置に生成する。このとき、共有に必要なアプリケーションなどを含むＶＭイメージのテンプレートを予め用意しておき、管理者Ａｄｍｉｎ（Ａ）に選択させる方法を用いても良い。
【０１０１】
次に、仮想化資源生成手段５０は、所定のバーチャルマシンモニタやホストＯＳを備えるサーバプール内のサーバコンピュータに、生成したＶＭイメージを配置し、新たな仮想化共有資源の稼動を指示する。このとき、サーバプール内のサーバコンピュータの負荷分布などに基づいて、負荷の低いサーバコンピュータを配置先として選択するようにしてもよい。
【０１０２】
そして、配置先のサーバコンピュータから仮想化共有資源に割り当てられた識別名（ＩＰアドレスなど）を問い合わせて取得し、当該識別名をドメインＡの共有資源として、アクセス権管理装置１０−Ａの共有資源管理手段１３００に登録する。さらに、共有相手であるドメインＢのアクセス権管理装置１０−Ｂの共有資源管理手段１３００に登録する。
【０１０３】
（第２の実施の形態による効果）
【０１０４】
本実施の形態では、ドメイン間で共有されるすべての資源が仮想化共有資源４０であるため、バーチャルマシンモニタやホストＯＳが保証する遮蔽性、すなわちポリシーで許可しない限り、仮想化共有資源４０が他ドメインとの仮想化共有資源やドメイン固有の資源にアクセスできないあるいはアクセスされないという性質により、資源共有に伴うワーム攻撃による他の資源への感染拡大や、共有資源で格納される情報を社内の非グループメンバから不正に盗まれるといった脅威を未然に防止することができる。
【０１０５】
（第３の実施の形態）
【０１０６】
図１８を参照すると、第３の実施形態におけるアクセス権管理システムは、アクセス権管理サーバ６０と、クライアント端末７０とを備え、第１ないし第２の実施形態におけるアクセス権管理装置１０を１つのアクセス権管理サーバとして集約した構成をもつ。
【０１０７】
アクセス権管理サーバ６０は、プログラム制御を行う中央処理プロセッサ（ＣＰＵ）６０１と、主記憶装置６０２と、二次記憶デバイス６０３と、クライアント端末７０との制御する通信手段６０４と、クライアント端末７０のドメイン所属を認証するドメイン認証手段６０５と、オペレーティングシステム６０６とを備えている。さらに、二次記憶デバイス６０３内に格納されたプログラムによってソフトウェア的に実現される、ポリシー編集手段１１００と、グループ管理手段１２００と、共有資源管理手段１３００と、ポリシー管理手段１４００と、ポリシー交渉手段１５００と、交渉情報生成手段１６００と、ポリシー強制手段１７００とを有する。
【０１０８】
クライアント端末７０は、ドメイン毎に配置されており、ＬＣＤなどの出力手段７０１と、キーボード・マウスなどの入力手段７０２と、アクセス権管理サーバ６０との通信を制御する通信手段７０３と、ドメイン証明手段７０４とを備える。
【０１０９】
この第３の実施の形態によるアクセス権管理システムの動作を、具体例を用いて詳細に説明する。
【０１１０】
まず、ドメインＡの管理者Ａｄｍｉｎ（Ａ）が、クライアント端末７０の入力手段７０２を介して、ポリシーの編集・交渉・強制などのポリシー操作指示を与えたとき、クライアント端末７０は、通信手段７０３を介して、ポリシー操作要求をアクセス権管理サーバ６０に送信する。なお、通信手段７０３は、ポリシー操作要求をアクセス権管理サーバ６０に送信する際、ドメイン証明手段７０４に格納されているドメイン認証情報を要求メッセージに含めて送信する。
【０１１１】
そして、アクセス権管理サーバ６０が、通信手段６０４でポリシー表示要求を受信すると、当該ポリシー表示要求に含まれるドメイン認証情報をドメイン認証手段６０５により、クライアント端末７０の所属ドメインがドメインＡであることを認証する。認証に失敗した場合、以降の処理を行わず、直ちに中断する。
【０１１２】
なお、ドメイン認証情報の好適な例としては、公開鍵暗号インフラストラクチャ（ＰＫＩ）に基づく公開鍵証明書がある。この場合、ドメイン認証手段６０５は公開鍵証明書の正当性を検証する。その他の好適な例としては、トラステッドプラットフォームモジュール（Ｔｒｕｓｔｅｄ Ｐｌａｔｆｏｒｍ Ｍｏｄｕｌｅ； ＴＰＭ）の機器認証メカニズムを適用してもよい。
【０１１３】
その後、アクセス権管理サーバ６０は、オペレーティングシステム６０６を介して、二次記憶デバイス６０３に格納されているプログラムによって実装されたポリシー編集手段１１００と、グループ管理手段１２００と、共有資源管理手段１３００と、ポリシー管理手段１４００と、ポリシー交渉手段１５００と、交渉情報生成手段１６００と、ポリシー強制手段１７００とを主記憶装置６０２にロードして、ドメインＡ用のアクセス権管理プロセスを生成して、前記のポリシー操作要求を入力する。
【０１１４】
生成されたアクセス権管理プロセスは、第１又は第２実施の形態におけるアクセス権管理装置１０の動作をエミュレートする。また、ポリシー交渉手段１５００がドメインＢのポリシー交渉手段１５００と通信を行う際にも、同様にしてドメインＢ用のアクセス権管理プロセスを生成する。
【０１１５】
（第３の実施の形態による効果）
以上のような構成により、本実施の形態によれば、アクセス権管理サーバ６０は、資源共有を行うドメインと無関係な第三者が運用できるので、ＡＳＰ型のアクセス権管理サービスが提供可能となる。
【０１１６】
なお、グループ管理手段１２００と、共有資源管理手段１３００と、ポリシー管理手段１４００と、を独立したプロセスとして実行させることで、任意のアクセス権管理プロセスから共有できるようにしてもよい。こうすることで、アクセス権管理サーバ６０の主記憶装置６０２と二次記憶デバイス６０３の利用の効率化が可能となる。
【０１１７】
また、図１９に示すように、ポリシー強制手段１７００をクライアント端末７０側に備えてもよい。こうすることで、共有資源２０又は仮想化共有資源４０はドメイン内にあるクライアント端末７０からのポリシー強制を受け付ければ十分であるので、より安全な構成となる。
【０１１８】
（第４の実施の形態）
【０１１９】
図２０と図２１を参照すると、第４の実施の形態におけるアクセス権管理システムは、第１ないし第２の実施の形態における、アクセス権管理装置１０の構成に加えて、矛盾検証手段１８００を備える点で相違する。
【０１２０】
この矛盾検証手段１８００は、一時記憶手段１８０１と、予め定められた制約条件を格納した制約管理手段１８０２と、制約充足性判定手段１８０３とを有する。
【０１２１】
矛盾検証手段１８００が、ポリシー交渉手段１５００から入力された交渉情報に含まれる全てのポリシー単位を一時記憶手段１８０１に格納した後、制約充足性判定手段１８０３が、制約管理手段１８０２から取得した制約条件と、一時記憶手段１８０１内の各ポリシー単位と前記制約条件を比較して、制約条件が満たされるか否かを判定し、その結果をポリシー交渉手段１５００の出力手段１５０４に出力する。
【０１２２】
本実施の形態によるアクセス権管理装置１０の動作を、図２２を参照しながら具体例を用いて詳細に説明する。なお、図２２のフローチャートにおいて、図１２と同じステップについては同じ符号を付している。
【０１２３】
今、ドメインＡの管理者Ａｄｍｉｎ（Ａ）のアクセス権管理装置１０−Ａから、図２３に示すようなポリシー単位を含む交渉情報をドメインＢの管理者Ａｄｍｉｎ（Ｂ）のアクセス権管理装置１０−Ｂが受信したと仮定する。また、管理者Ａｄｍｉｎ（Ｂ）が予めドメイン固有のセキュリティポリシーとして、ポリシー単位の要素（サブジェクト・オブジェクト・アクション）毎の識別名やロール、セキュリティラベルなどの属性定義と、属性に関する制約式と、その他変数などを含む制約条件を記述し、制約管理手段１８０２に格納しているものとする。
【０１２４】
制約条件の具体例としては、例えば、図２４に示すように、それぞれのグループメンバと共有資源とに割り当てた半順序関係をもつセキュリティラベルの定義と、Ｂｅｌｌ−ＬａＰａｄｕｌａモデルとしてよく知られる、ｒ−プロパティ（より大きいラベルを持つサブジェクトは、より小さいラベルを持つオブジェクトに対して、読み込みアクセスできるが、その逆は不可）と、＊−プロパティ（より小さいラベルを持つサブジェクトは、より大きいラベルを持つオブジェクトに対して、書き込みアクセスできるが、その逆は不可）を制約式として記述したものを挙げることができる。
【０１２５】
ここで、アクセス権管理装置１０−Ｂのポリシー交渉手段１５００が前記交渉情報を受信した後、ポリシー交渉手段１５００は、ステップ１２０２の後段であるステップ２２１２で、一時記憶手段１５０１に格納されている前記交渉情報に含まれる全ての未合意ポリシー単位を、矛盾検証手段１８００に入力して、前記制約条件に反する矛盾情報を取得する。
【０１２６】
ステップ２２１２において、まず、矛盾検証手段１８００が、検査対象である未合意ポリシー単位を一時記憶手段１８０１に格納した後、制約充足性判定手段１８０３が、制約管理手段１８０２から制約条件を取得する。そして、制約充足性判定手段１８０３は、一時記憶手段１８０１内の各ポリシー単位を入力として、当該制約条件に記載された制約式を評価する。
【０１２７】
例えば、図２４に示した上記制約条件の例を用いると、前記交渉情報に含まれるポリシー単位（図２３参照）が、ｒ−プロパティ違反として検出される。このとき、制約充足性判定手段１８０３は、例えば「このポリシー単位は読み込みに関する制約条件に違反しています」との矛盾情報を生成し、ポリシー交渉手段１５００に出力する。
【０１２８】
そして、ポリシー交渉手段１５００は、当該矛盾情報を受け取った後、ステップＢ３で、出力手段１５０４を介して、未合意ポリシー単位と共に前記矛盾情報を管理者Ａｄｍｉｎ（Ｂ）に向けて表示・警告する（図２５参照）。
【０１２９】
（第４の実施の形態による効果）
以上のような構成により、本実施形態におけるアクセス権管理システムは、管理者による未合意ポリシー単位に対する合意可否の意思決定における判断ミスを予防することができる。
【産業上の利用可能性】
【０１３０】
本発明によれば、業務提携や産学共同研究などの場面で、企業や大学などのシステム管理者が用いるアクセス権管理ツールといった用途に適用できる。また、セキュリティ運用管理サービスの一種として、アクセス権管理ＡＳＰサービスやポリシー交渉仲介ＡＳＰサービスといった用途にも適用することが可能である。
【図面の簡単な説明】
【０１３１】
【図１】本発明の第１の実施の形態によるアクセス権管理システムの構成を示すブロック図である。
【図２】本発明の第１の実施の形態によるアクセス権管理システムのポリシー編集手段の構成を示すブロック図である。
【図３】本発明の第１の実施の形態によるアクセス権管理システムのポリシー交渉手段の構成を示すブロック図である。
【図４】本発明の第１の実施の形態によるアクセス権管理システムの交渉情報生成手段の構成を示すブロック図である。
【図５】本発明の第１の実施の形態によるアクセス権管理システムの全体的な動作を示すフローチャートである。
【図６】本発明の第１の実施の形態によるアクセス権管理システムの交渉処理の内容を説明するフローチャートである。
【図７】本発明の第１の実施の形態におけるドメイン・管理者・アクセス権管理装置・共有資源の関係の一例を示す図である。
【図８】本発明の第１の実施の形態におけるポリシー編集手段が表示する画面例を示す図である。
【図９】資源共有ポリシーのフォーマットの一例を示す図である。
【図１０】本発明の第１の実施の形態における交渉情報生成手段におけるドメインとポリシー単位との格納形式の一例を示す図である。
【図１１】交渉情報のフォーマットの一例である。
【図１２】本発明の第１の実施の形態におけるポリシー交渉手段が行う未合意ポリシー単位の交渉ステップの詳細を示すフローチャートである。
【図１３】本発明の第１の実施の形態におけるポリシー交渉手段が表示する交渉画面例を示す図である。
【図１４】署名付のポリシー単位を含む交渉情報の一例を示す図である。
【図１５】本発明の第１の実施の形態におけるポリシー交渉手段が表示するエラー画面例を示す図である。
【図１６】本発明の第１の実施の形態におけるポリシー交渉手段の別の構成を示すブロック図である。
【図１７】本発明の第２の実施の形態によるアクセス権管理システムの構成を示すブロック図である。
【図１８】本発明の第３の実施の形態によるアクセス権管理システムの構成を示すブロック図である。
【図１９】本発明の第３の実施の形態におけるアクセス権管理サーバの別の構成を示すブロック図である。
【図２０】本発明の第４の実施の形態によるアクセス権管理システムの構成を示すブロック図である。
【図２１】本発明の第４の実施の形態における矛盾検証手段の構成を示すブロック図である。
【図２２】本発明の第４の実施の形態におけるポリシー交渉手段が行う未合意ポリシー単位の交渉ステップの詳細を示すフローチャートである。
【図２３】本発明の第４の実施の形態における交渉情報の別の一例を示す図である。
【図２４】本発明の第４の実施の形態における制約条件の一例を示す図である。
【図２５】本発明の第４の実施の形態におけるポリシー交渉手段が表示する交渉画面の一例を示す図である。
【符号の説明】
【０１３２】
１０ アクセス権管理装置
１１００ ポリシー編集手段
１１０１ 入力手段
１１０２ 一時記憶手段
１１０３ 出力手段
１２００ グループ管理手段
１３００ 共有資源管理手段
１４００ ポリシー管理手段
１５００ ポリシー交渉手段
１５０１ 一時記憶手段
１５０２ 送信手段
１５０３ 受信手段
１５０４ 出力手段
１５０５ 入力手段
１５０６ 署名検証手段
１５０７ 署名付与手段
１６００ 交渉情報生成手段
１６０１ 一時記憶手段
１６０２ ポリシー単位抽出手段
１６０３ 交渉先特定手段
１７００ ポリシー強制手段
１８００ 矛盾検証手段
１８０１ 一時記憶手段
１８０２ 制約管理手段
１８０３ 制約充足性判定手段
２０ 共有資源
４０ 仮想化共有資源
５０ 仮想化資源生成手段
６０ アクセス権管理サーバ
６０１ ＣＰＵ
６０２ 主記憶装置
６０３ 二次記憶デバイス
６０４ 通信手段
６０５ ドメイン認証手段
６０６ オペレーティングシステム
７０ クライアント端末
７０１ 出力手段
７０２ 入力手段
７０３ 通信手段
７０４ ドメイン証明手段
【特許請求の範囲】
【請求項１】
資源共有ポリシーを作成し、複数のドメイン管理者間による資源共有ポリシーの交渉処理を行うアクセス権管理装置をドメイン毎に備え、
前記資源共有ポリシーを作成した前記アクセス権管理装置が、
前記資源共有ポリシーを構成するポリシー単位毎に、当該ポリシー単位の交渉先である前記アクセス権管理装置を特定し、特定した前記アクセス権管理装置の識別名と交渉対象となる前記ポリシー単位とを含む交渉情報を生成し、前記交渉情報を前記特定のアクセス権管理装置に送信し、
前記交渉情報を送信した前記特定のアクセス権管理装置から、全ての前記ポリシー単位に対する合意の指示があった場合に、前記資源共有ポリシーを共有資源に設定することを特徴とするアクセス権管理システム。
【請求項２】
前記アクセス権管理装置が、
前記資源共有ポリシーを作成・編集するポリシー編集手段と、
資源共有を行うユーザやドメイン管理者、前記アクセス権管理装置の識別情報と、前記ドメインとの関係を含むドメイン情報を格納するグループ管理手段と、
共有資源の識別名と前記ドメインとを対応付けて格納する共有資源管理手段と、
前記資源共有ポリシーから交渉先の前記ドメインと交渉を要する前記ポリシー単位を抽出し、前記グループ管理手段と前記共有資源管理手段を参照して、前記交渉情報を生成する交渉情報生成手段と、
前記資源共有ポリシーの前記ポリシー単位について前記特定のアクセス権管理装置から合意を得る交渉処理を実行するポリシー交渉手段と、
合意済みの資源共有ポリシーのみを共有資源に設定するポリシー強制手段とを備えることを特徴とする請求項１に記載のアクセス権管理システム。
【請求項３】
前記ポリシー編集手段が前記資源共有ポリシーを新規に作成し又は変更したとき、前記交渉情報生成手段が、前記資源共有ポリシーを前記ポリシー単位に分割し、前記ポリシー単位毎に、ユーザの識別名の所属ドメインを前記グループ管理手段に問い合わせ、又は共有資源の識別名の所属ドメインを共有資源管理手段に問い合わせることにより、当該ポリシー単位の交渉先を特定し、交渉先の前記アクセス権管理装置の識別名のリストと交渉対象となるポリシー単位とを含む交渉情報を生成することを特徴とする請求項２に記載のアクセス権管理システム。
【請求項４】
前記ポリシー交渉手段が、前記交渉情報生成手段が生成した前記交渉情報を、当該交渉情報に含まれる前記アクセス権管理装置に送信し、当該アクセス権管理装置から、前記交渉情報に含まれるポリシー単位に対する合意指示が得られたときに、前記アクセス権管理装置のドメイン管理者のデジタル署名を当該ポリシー単位に付与することを特徴とする請求項２又は請求項３に記載のアクセス権管理システム。
【請求項５】
前記ポリシー交渉手段が、前記資源共有ポリシーの前記ポリシー単位に付与された前記デジタル署名の有無を検証し、合意がなされたと判定した場合に、資源共有ポリシーを合意済みのポリシー単位で更新することを特徴とする請求項４に記載のアクセス権管理システム。
【請求項６】
前記共有資源が、仮想的な共有資源であり、
前記仮想的な共有資源を生成して前記アクセス権管理装置に仮想化共有資源情報を登録する仮想化資源生成手段を備えることを特徴とする請求項１から請求項５の何れか１項に記載のアクセス権管理システム。
【請求項７】
ドメイン毎に備えられ、作成された前記資源共有ポリシーを構成するポリシー単位毎に、当該ポリシー単位の交渉先を特定し、特定した交渉先の識別名と交渉対象となる前記ポリシー単位とを含む交渉情報を生成し、前記交渉情報を前記特定した交渉先に送信し、前記交渉情報を送信した前記特定の交渉先から、全ての前記ポリシー単位に対する合意の指示があった場合に、前記資源共有ポリシーを共有資源に設定するアクセス権管理サーバと、
前記アクセス権管理サーバと接続して、ドメイン管理者が前記資源共有ポリシーの編集、交渉処及び強制的な設定を指示するためのクライアント端末と
を備えたことを特徴とするアクセス権管理システム。
【請求項８】
前記資源共有ポリシーと予め定められた所定の制約条件との間の矛盾を検出する矛盾検証手段をさらに備えることを特徴とする請求項１から請求項７の何れか１項に記載のアクセス権管理システム。
【請求項９】
資源共有ポリシーを作成し、複数のドメイン管理者間による資源共有ポリシーの交渉処理を行う、ドメイン毎に備えられるサーバであって、
前記資源共有ポリシーを構成するポリシー単位毎に、当該ポリシー単位の交渉先であるサーバを特定し、特定した交渉先の前記サーバの識別名と交渉対象となる前記ポリシー単位とを含む交渉情報を生成し、前記交渉情報を前記特定のサーバに送信し、
前記交渉情報を送信した前記特定のサーバから、全ての前記ポリシー単位に対する合意の指示があった場合に、前記資源共有ポリシーを共有資源に設定することを特徴とするサーバ。
【請求項１０】
前記資源共有ポリシーを作成・編集するポリシー編集手段と、
資源共有を行うユーザやドメイン管理者、前記サーバの識別情報と、前記ドメインとの関係を含むドメイン情報を格納するグループ管理手段と、
共有資源の識別名と前記ドメインとを対応付けて格納する共有資源管理手段と、
前記資源共有ポリシーから交渉先の前記ドメインと交渉を要する前記ポリシー単位を抽出し、前記グループ管理手段と前記共有資源管理手段を参照して、前記交渉情報を生成する交渉情報生成手段と、
前記資源共有ポリシーの前記ポリシー単位について前記特定のサーバから合意を得る交渉処理を実行するポリシー交渉手段と、
合意済みの資源共有ポリシーのみを共有資源に設定するポリシー強制手段とを備えることを特徴とする請求項９に記載のサーバ。
【請求項１１】
前記ポリシー編集手段が前記資源共有ポリシーを新規に作成し又は変更したとき、前記交渉情報生成手段が、前記資源共有ポリシーを前記ポリシー単位に分割し、前記ポリシー単位毎に、ユーザの識別名の所属ドメインを前記グループ管理手段に問い合わせ、又は共有資源の識別名の所属ドメインを共有資源管理手段に問い合わせることにより、当該ポリシー単位の交渉先を特定し、交渉先の前記サーバの識別名のリストと交渉対象となるポリシー単位とを含む交渉情報を生成することを特徴とする請求項１０に記載のサーバ。
【請求項１２】
前記ポリシー交渉手段が、前記交渉情報生成手段が生成した前記交渉情報を、当該交渉情報に含まれる前記サーバに送信し、当該サーバから、前記交渉情報に含まれるポリシー単位に対する合意指示が得られたときに、前記サーバのドメイン管理者のデジタル署名を当該ポリシー単位に付与することを特徴とする請求項１０又は請求項１１に記載のサーバ。
【請求項１３】
前記ポリシー交渉手段が、前記資源共有ポリシーの前記ポリシー単位に付与された前記デジタル署名の有無を検証し、合意がなされたと判定した場合に、資源共有ポリシーを合意済みのポリシー単位で更新することを特徴とする請求項１２に記載のサーバ。
【請求項１４】
前記共有資源が、仮想的な共有資源であり、
前記仮想的な共有資源を生成して前記サーバに仮想化共有資源情報を登録する仮想化資源生成手段を備えることを特徴とする請求項９から請求項１３の何れか１項に記載のアクセス権管理システム。
【請求項１５】
ドメイン毎に備えられるアクセス権管理サーバ上で実行され、資源共有ポリシーを作成し、複数のドメイン管理者間による資源共有ポリシーの交渉処理を行うアクセス権管理プログラムであって、
前記アクセス権管理サーバに、
前記資源共有ポリシーを構成するポリシー単位毎に、当該ポリシー単位の交渉先である前記アクセス権管理サーバを特定し、特定した前記アクセス権管理サーバの識別名と交渉対象となる前記ポリシー単位とを含む交渉情報を生成し、前記交渉情報を前記特定のアクセス権管理サーバに送信する機能と、
前記交渉情報を送信した前記特定のアクセス権管理サーバから、全ての前記ポリシー単位に対する合意の指示があった場合に、前記資源共有ポリシーを共有資源に設定する機能を実行させることを特徴とするアクセス権管理プログラム。
【請求項１６】
前記アクセス権管理サーバに、
前記資源共有ポリシーを作成・編集するポリシー編集機能と、
資源共有を行うユーザやドメイン管理者、前記アクセス権管理サーバの識別情報と、前記ドメインとの関係を含むドメイン情報を格納するグループ管理機能と、
共有資源の識別名と前記ドメインとを対応付けて格納する共有資源管理機能と、
前記資源共有ポリシーから交渉先の前記ドメインと交渉を要する前記ポリシー単位を抽出し、前記グループ管理手段と前記共有資源管理手段を参照して、前記交渉情報を生成する交渉情報生成機能と、
前記資源共有ポリシーの前記ポリシー単位について前記特定のアクセス権管理サーバから合意を得る交渉処理を実行するポリシー交渉機能と、
合意済みの資源共有ポリシーのみを共有資源に設定するポリシー強制機能とを実行させることを特徴とする請求項１５に記載のアクセス権管理プログラム。
【請求項１７】
前記ポリシー編集機能により前記資源共有ポリシーを新規に作成し又は変更したとき、前記交渉情報生成機能が、前記資源共有ポリシーを前記ポリシー単位に分割し、前記ポリシー単位毎に、ユーザの識別名の所属ドメインを前記グループ管理機能に問い合わせ、又は共有資源の識別名の所属ドメインを共有資源管理機能に問い合わせることにより、当該ポリシー単位の交渉先を特定し、交渉先の前記アクセス権管理サーバの識別名のリストと交渉対象となるポリシー単位とを含む交渉情報を生成することを特徴とする請求項１５に記載のアクセス権管理プログラム。
【請求項１８】
前記ポリシー交渉機能が、前記交渉情報生成機能で生成した前記交渉情報を、当該交渉情報に含まれる前記アクセス権管理サーバに送信し、当該アクセス権管理サーバから、前記交渉情報に含まれるポリシー単位に対する合意指示が得られたときに、前記アクセス権管理サーバのドメイン管理者のデジタル署名を当該ポリシー単位に付与することを特徴とする請求項１６又は請求項１７に記載のアクセス権管理プログラム。
【請求項１９】
前記ポリシー交渉機能が、前記資源共有ポリシーの前記ポリシー単位に付与された前記デジタル署名の有無を検証し、合意がなされたと判定した場合に、資源共有ポリシーを合意済みのポリシー単位で更新することを特徴とする請求項１８に記載のアクセス権管理プログラム。
【請求項２０】
前記共有資源が、仮想的な共有資源であり、
前記仮想的な共有資源を生成して前記アクセス権管理サーバに仮想化共有資源情報を登録する仮想化資源生成機能を有することを特徴とする請求項１５から請求項１９の何れか１項に記載のアクセス権管理プログラム。
【請求項１】
資源共有ポリシーを作成し、複数のドメイン管理者間による資源共有ポリシーの交渉処理を行うアクセス権管理装置をドメイン毎に備え、
前記資源共有ポリシーを作成した前記アクセス権管理装置が、
前記資源共有ポリシーを構成するポリシー単位毎に、当該ポリシー単位の交渉先である前記アクセス権管理装置を特定し、特定した前記アクセス権管理装置の識別名と交渉対象となる前記ポリシー単位とを含む交渉情報を生成し、前記交渉情報を前記特定のアクセス権管理装置に送信し、
前記交渉情報を送信した前記特定のアクセス権管理装置から、全ての前記ポリシー単位に対する合意の指示があった場合に、前記資源共有ポリシーを共有資源に設定することを特徴とするアクセス権管理システム。
【請求項２】
前記アクセス権管理装置が、
前記資源共有ポリシーを作成・編集するポリシー編集手段と、
資源共有を行うユーザやドメイン管理者、前記アクセス権管理装置の識別情報と、前記ドメインとの関係を含むドメイン情報を格納するグループ管理手段と、
共有資源の識別名と前記ドメインとを対応付けて格納する共有資源管理手段と、
前記資源共有ポリシーから交渉先の前記ドメインと交渉を要する前記ポリシー単位を抽出し、前記グループ管理手段と前記共有資源管理手段を参照して、前記交渉情報を生成する交渉情報生成手段と、
前記資源共有ポリシーの前記ポリシー単位について前記特定のアクセス権管理装置から合意を得る交渉処理を実行するポリシー交渉手段と、
合意済みの資源共有ポリシーのみを共有資源に設定するポリシー強制手段とを備えることを特徴とする請求項１に記載のアクセス権管理システム。
【請求項３】
前記ポリシー編集手段が前記資源共有ポリシーを新規に作成し又は変更したとき、前記交渉情報生成手段が、前記資源共有ポリシーを前記ポリシー単位に分割し、前記ポリシー単位毎に、ユーザの識別名の所属ドメインを前記グループ管理手段に問い合わせ、又は共有資源の識別名の所属ドメインを共有資源管理手段に問い合わせることにより、当該ポリシー単位の交渉先を特定し、交渉先の前記アクセス権管理装置の識別名のリストと交渉対象となるポリシー単位とを含む交渉情報を生成することを特徴とする請求項２に記載のアクセス権管理システム。
【請求項４】
前記ポリシー交渉手段が、前記交渉情報生成手段が生成した前記交渉情報を、当該交渉情報に含まれる前記アクセス権管理装置に送信し、当該アクセス権管理装置から、前記交渉情報に含まれるポリシー単位に対する合意指示が得られたときに、前記アクセス権管理装置のドメイン管理者のデジタル署名を当該ポリシー単位に付与することを特徴とする請求項２又は請求項３に記載のアクセス権管理システム。
【請求項５】
前記ポリシー交渉手段が、前記資源共有ポリシーの前記ポリシー単位に付与された前記デジタル署名の有無を検証し、合意がなされたと判定した場合に、資源共有ポリシーを合意済みのポリシー単位で更新することを特徴とする請求項４に記載のアクセス権管理システム。
【請求項６】
前記共有資源が、仮想的な共有資源であり、
前記仮想的な共有資源を生成して前記アクセス権管理装置に仮想化共有資源情報を登録する仮想化資源生成手段を備えることを特徴とする請求項１から請求項５の何れか１項に記載のアクセス権管理システム。
【請求項７】
ドメイン毎に備えられ、作成された前記資源共有ポリシーを構成するポリシー単位毎に、当該ポリシー単位の交渉先を特定し、特定した交渉先の識別名と交渉対象となる前記ポリシー単位とを含む交渉情報を生成し、前記交渉情報を前記特定した交渉先に送信し、前記交渉情報を送信した前記特定の交渉先から、全ての前記ポリシー単位に対する合意の指示があった場合に、前記資源共有ポリシーを共有資源に設定するアクセス権管理サーバと、
前記アクセス権管理サーバと接続して、ドメイン管理者が前記資源共有ポリシーの編集、交渉処及び強制的な設定を指示するためのクライアント端末と
を備えたことを特徴とするアクセス権管理システム。
【請求項８】
前記資源共有ポリシーと予め定められた所定の制約条件との間の矛盾を検出する矛盾検証手段をさらに備えることを特徴とする請求項１から請求項７の何れか１項に記載のアクセス権管理システム。
【請求項９】
資源共有ポリシーを作成し、複数のドメイン管理者間による資源共有ポリシーの交渉処理を行う、ドメイン毎に備えられるサーバであって、
前記資源共有ポリシーを構成するポリシー単位毎に、当該ポリシー単位の交渉先であるサーバを特定し、特定した交渉先の前記サーバの識別名と交渉対象となる前記ポリシー単位とを含む交渉情報を生成し、前記交渉情報を前記特定のサーバに送信し、
前記交渉情報を送信した前記特定のサーバから、全ての前記ポリシー単位に対する合意の指示があった場合に、前記資源共有ポリシーを共有資源に設定することを特徴とするサーバ。
【請求項１０】
前記資源共有ポリシーを作成・編集するポリシー編集手段と、
資源共有を行うユーザやドメイン管理者、前記サーバの識別情報と、前記ドメインとの関係を含むドメイン情報を格納するグループ管理手段と、
共有資源の識別名と前記ドメインとを対応付けて格納する共有資源管理手段と、
前記資源共有ポリシーから交渉先の前記ドメインと交渉を要する前記ポリシー単位を抽出し、前記グループ管理手段と前記共有資源管理手段を参照して、前記交渉情報を生成する交渉情報生成手段と、
前記資源共有ポリシーの前記ポリシー単位について前記特定のサーバから合意を得る交渉処理を実行するポリシー交渉手段と、
合意済みの資源共有ポリシーのみを共有資源に設定するポリシー強制手段とを備えることを特徴とする請求項９に記載のサーバ。
【請求項１１】
前記ポリシー編集手段が前記資源共有ポリシーを新規に作成し又は変更したとき、前記交渉情報生成手段が、前記資源共有ポリシーを前記ポリシー単位に分割し、前記ポリシー単位毎に、ユーザの識別名の所属ドメインを前記グループ管理手段に問い合わせ、又は共有資源の識別名の所属ドメインを共有資源管理手段に問い合わせることにより、当該ポリシー単位の交渉先を特定し、交渉先の前記サーバの識別名のリストと交渉対象となるポリシー単位とを含む交渉情報を生成することを特徴とする請求項１０に記載のサーバ。
【請求項１２】
前記ポリシー交渉手段が、前記交渉情報生成手段が生成した前記交渉情報を、当該交渉情報に含まれる前記サーバに送信し、当該サーバから、前記交渉情報に含まれるポリシー単位に対する合意指示が得られたときに、前記サーバのドメイン管理者のデジタル署名を当該ポリシー単位に付与することを特徴とする請求項１０又は請求項１１に記載のサーバ。
【請求項１３】
前記ポリシー交渉手段が、前記資源共有ポリシーの前記ポリシー単位に付与された前記デジタル署名の有無を検証し、合意がなされたと判定した場合に、資源共有ポリシーを合意済みのポリシー単位で更新することを特徴とする請求項１２に記載のサーバ。
【請求項１４】
前記共有資源が、仮想的な共有資源であり、
前記仮想的な共有資源を生成して前記サーバに仮想化共有資源情報を登録する仮想化資源生成手段を備えることを特徴とする請求項９から請求項１３の何れか１項に記載のアクセス権管理システム。
【請求項１５】
ドメイン毎に備えられるアクセス権管理サーバ上で実行され、資源共有ポリシーを作成し、複数のドメイン管理者間による資源共有ポリシーの交渉処理を行うアクセス権管理プログラムであって、
前記アクセス権管理サーバに、
前記資源共有ポリシーを構成するポリシー単位毎に、当該ポリシー単位の交渉先である前記アクセス権管理サーバを特定し、特定した前記アクセス権管理サーバの識別名と交渉対象となる前記ポリシー単位とを含む交渉情報を生成し、前記交渉情報を前記特定のアクセス権管理サーバに送信する機能と、
前記交渉情報を送信した前記特定のアクセス権管理サーバから、全ての前記ポリシー単位に対する合意の指示があった場合に、前記資源共有ポリシーを共有資源に設定する機能を実行させることを特徴とするアクセス権管理プログラム。
【請求項１６】
前記アクセス権管理サーバに、
前記資源共有ポリシーを作成・編集するポリシー編集機能と、
資源共有を行うユーザやドメイン管理者、前記アクセス権管理サーバの識別情報と、前記ドメインとの関係を含むドメイン情報を格納するグループ管理機能と、
共有資源の識別名と前記ドメインとを対応付けて格納する共有資源管理機能と、
前記資源共有ポリシーから交渉先の前記ドメインと交渉を要する前記ポリシー単位を抽出し、前記グループ管理手段と前記共有資源管理手段を参照して、前記交渉情報を生成する交渉情報生成機能と、
前記資源共有ポリシーの前記ポリシー単位について前記特定のアクセス権管理サーバから合意を得る交渉処理を実行するポリシー交渉機能と、
合意済みの資源共有ポリシーのみを共有資源に設定するポリシー強制機能とを実行させることを特徴とする請求項１５に記載のアクセス権管理プログラム。
【請求項１７】
前記ポリシー編集機能により前記資源共有ポリシーを新規に作成し又は変更したとき、前記交渉情報生成機能が、前記資源共有ポリシーを前記ポリシー単位に分割し、前記ポリシー単位毎に、ユーザの識別名の所属ドメインを前記グループ管理機能に問い合わせ、又は共有資源の識別名の所属ドメインを共有資源管理機能に問い合わせることにより、当該ポリシー単位の交渉先を特定し、交渉先の前記アクセス権管理サーバの識別名のリストと交渉対象となるポリシー単位とを含む交渉情報を生成することを特徴とする請求項１５に記載のアクセス権管理プログラム。
【請求項１８】
前記ポリシー交渉機能が、前記交渉情報生成機能で生成した前記交渉情報を、当該交渉情報に含まれる前記アクセス権管理サーバに送信し、当該アクセス権管理サーバから、前記交渉情報に含まれるポリシー単位に対する合意指示が得られたときに、前記アクセス権管理サーバのドメイン管理者のデジタル署名を当該ポリシー単位に付与することを特徴とする請求項１６又は請求項１７に記載のアクセス権管理プログラム。
【請求項１９】
前記ポリシー交渉機能が、前記資源共有ポリシーの前記ポリシー単位に付与された前記デジタル署名の有無を検証し、合意がなされたと判定した場合に、資源共有ポリシーを合意済みのポリシー単位で更新することを特徴とする請求項１８に記載のアクセス権管理プログラム。
【請求項２０】
前記共有資源が、仮想的な共有資源であり、
前記仮想的な共有資源を生成して前記アクセス権管理サーバに仮想化共有資源情報を登録する仮想化資源生成機能を有することを特徴とする請求項１５から請求項１９の何れか１項に記載のアクセス権管理プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【公開番号】特開２００８−２２５６７４（Ｐ２００８−２２５６７４Ａ）
【公開日】平成２０年９月２５日（２００８．９．２５）
【国際特許分類】
【出願番号】特願２００７−６０５８１（Ｐ２００７−６０５８１）
【出願日】平成１９年３月９日（２００７．３．９）
【新規性喪失の例外の表示】特許法第３０条第１項適用申請有り 情報通信システムセキュリティ研究会、（社団法人）電子情報通信学会、平成１９年２月２７日、２８日
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
【公開日】平成２０年９月２５日（２００８．９．２５）
【国際特許分類】
【出願日】平成１９年３月９日（２００７．３．９）
【新規性喪失の例外の表示】特許法第３０条第１項適用申請有り 情報通信システムセキュリティ研究会、（社団法人）電子情報通信学会、平成１９年２月２７日、２８日
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
[ Back to top ]