アクセス権管理装置およびアクセス権管理プログラム
【課題】ディレクトリサービスを使用せずに、組織変更や人事異動があっても、組織全体のアクセス権の管理を容易に行うことができるようにする。
【解決手段】ある主体からアクセス要求のあったオブジェクトを所有する主体を基準にして、当該アクセス要求を行った主体が上位、同位および下位のうち何れの位置に該当するかを特定する。そして、上位、同位および下位という抽象的な概念により表した主体と、当該主体のオブジェクトへのアクセス権とを関連付けたアクセス権情報に基づいて、アクセス要求を行った主体に対して、上位、同位および下位のうち特定した位置に対応するアクセス権を付与することにより、階層構造情報、所有情報およびアクセス権情報を定義しておくだけで、オブジェクトを所有する主体を基準にして上位、同位および下位に位置する主体に関する当該オブジェクトへのアクセス権が制御されるようにする。
【解決手段】ある主体からアクセス要求のあったオブジェクトを所有する主体を基準にして、当該アクセス要求を行った主体が上位、同位および下位のうち何れの位置に該当するかを特定する。そして、上位、同位および下位という抽象的な概念により表した主体と、当該主体のオブジェクトへのアクセス権とを関連付けたアクセス権情報に基づいて、アクセス要求を行った主体に対して、上位、同位および下位のうち特定した位置に対応するアクセス権を付与することにより、階層構造情報、所有情報およびアクセス権情報を定義しておくだけで、オブジェクトを所有する主体を基準にして上位、同位および下位に位置する主体に関する当該オブジェクトへのアクセス権が制御されるようにする。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセス権管理装置およびアクセス権管理プログラムに関し、例えば、組織階層に基づき各組織に所属するユーザに対して、オブジェクト（ファイルやフォルダ）のアクセス権を付与するアクセス権管理装置およびアクセス権管理プログラムに関するものである。
【背景技術】
【０００２】
ファイル管理システムでは、オブジェクト（ファイルやフォルダ）に対するアクセス権をユーザや、複数のユーザからなるグループに対して付与し、アクセス権が与えられたユーザ又はグループからのみ当該オブジェクトへのアクセスを認めるようなアクセス権管理を行うものが多い。
【０００３】
アクセス権管理の代表的な方法として、アクセス制御リスト（ＡＣＬ：Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｌｉｓｔ）を用いる方法が知られている。アクセス制御リストは、個々のユーザ又はグループと、それらに対して与えられているオブジェクトへのアクセス権限の種類とをオブジェクト毎にリストとして定義したものである。
【０００４】
ところで、企業においては、部や課などの複数の組織からなる組織階層の構造および各組織に所属する社員を示す組織情報を組織データベースで管理している。そして、ファイル管理システムにおけるアクセス権管理を、組織データベースに連動させる運用を行っている場合も多い。この場合、社員および組織は、アクセス制御リスト（ＡＣＬ）によりアクセス権が付与されるユーザおよびグループにそれぞれ対応する。
【０００５】
このように、アクセス権管理を組織データベースに連動させて行っている場合、管理者は、企業内において組織変更や人事異動を行う都度、組織データベースを変更するだけでなく、アクセス制御リストも変更しなければならず、当該管理者の負担が重いという問題があった。
【０００６】
一方、企業内の本社・部門・部・課といった組織形態に合わせ、ユーザやオブジェクトを階層構造で一元管理し、オブジェクトに対するユーザのアクセス権を容易に設定することができるディレクトリサービスが普及している。例えば、階層構造において上位組織に設定したアクセス権をそのまま下位組織に継承させることができる。この継承機能を使用すれば、アクセス権を設定した上位組織の下位組織に変更があった場合や、人事異動により下位組織に新規ユーザの追加があった場合でも、当該下位組織に所属するユーザに対して上位組織のアクセス権を継承させることができる。
【０００７】
なお、ディレクトリサービスを利用した技術として、下位組織に設定した権限をそのまま上位組織に継承させることができるようにしたものが開示されている（例えば、特許文献１を参照）。この特許文献１に記載の技術によれば、組織階層と逆向きのグループ階層をディレクトリサービスデータベースに登録し、上位組織（例えば、部グループ）を下位組織（例えば、課グループ）のメンバとして登録することにより、下位組織が有する権限を上位組織に所属するユーザに委譲できるようにしている。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２００８−１１７０５２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
しかしながら、特許文献１に記載の技術には、以下に示すような問題点があった。すなわち、アクセス権を設定した下位組織の上位組織に変更があった場合や、人事異動により上位組織に新規ユーザの追加があった場合、その都度、組織変更や人事異動の結果を反映した組織階層と逆向きのグループ階層をディレクトリサービスデータベースに登録し直す必要があった。そのため、組織全体のアクセス権の管理のために、管理者は面倒な作業を強いられていた。
【００１０】
本発明は、このような問題を解決するために成されたものであり、ディレクトリサービスを使用せずに、組織変更や人事異動があっても、組織全体のアクセス権の管理を容易に行うことができるようにすることを目的とする。
【課題を解決するための手段】
【００１１】
上記した課題を解決するために、本発明では、上位、同位および下位という抽象的な概念により表した主体と、当該主体のオブジェクトへのアクセス権とを関連付けてアクセス権情報を構成する。ある主体からオブジェクトへのアクセス要求があったとき、そのオブジェクトを所有する主体を所有情報に基づき特定するとともに、当該アクセス要求を行った主体を階層構造情報に基づき特定する。そして、オブジェクトの所有主体を基準として、アクセス要求を行った主体が上位、同位および下位のうち何れの位置に該当するかを特定し、特定した位置に対応するアクセス権をアクセス権情報に基づき付与するようにしている。
【発明の効果】
【００１２】
上記のように構成した本発明によれば、階層構造情報、所有情報およびアクセス権情報を定義しておくだけで、オブジェクトを所有する主体を基準にして上位、同位および下位に位置する主体に関する当該オブジェクトへのアクセス権が制御される。さらに、主体がユーザの属する組織である場合には、アクセス権情報においてアクセス権を付与する対象組織を抽象的な概念（上位、同位および下位）で特定することにより、組織変更でオブジェクトを所有する組織の上位または下位に位置する組織に変更があったり、人事異動により当該上位または下位の組織に属するユーザに変更があったときでも、管理者が階層構造情報を変更するという簡単な処理を行うだけで、組織変更後の上位または下位の組織や、人事異動後のユーザに関するオブジェクトへのアクセス権が自動的に制御される。したがって、ディレクトリサービスを使用せずに、組織変更や人事異動があっても、組織全体のアクセス権の管理を容易に行うことができる。
【図面の簡単な説明】
【００１３】
【図１】本実施形態によるアクセス権管理装置を含むアクセス権管理システムの全体構成例を示すブロック図である。
【図２】本実施形態によるアクセス権管理装置において使用される各種情報の例を示す図である。
【図３】本実施形態によるアクセス権管理装置のアクセス権付与処理の例を示す図である。
【図４】本実施形態による組織変更が行われた場合におけるアクセス権管理装置のアクセス権付与処理の例を示す図である。
【図５】本実施形態による人事異動が行われた場合におけるアクセス権管理装置のアクセス権付与処理の例を示す図である。
【図６】本実施形態によるオブジェクトを所有する組織の変更が行われた場合におけるアクセス権管理装置のアクセス権付与処理の例を示す図である。
【図７】本実施形態によるアクセス権管理装置の動作例を示すフローチャートである。
【発明を実施するための形態】
【００１４】
以下、本発明の一実施形態（以下、「本実施形態」という）を図面に基づいて説明する。図１は、本実施形態によるアクセス権管理装置１００を含むアクセス権管理システム５０の全体構成例を示す図である。図１に示すように、本実施形態のアクセス権管理システム５０は、アクセス権管理装置１００、複数の情報端末１１０（例えば、ＰＣ、携帯端末など）を含み、これらが有線または無線の通信回線にて接続されている。
【００１５】
アクセス権管理装置１００は、一の情報端末１１０に保管されているオブジェクト（ファイルやフォルダ）に対する他の情報端末１１０からのアクセスを制御する装置である。ここで、アクセスとは、オブジェクトへの各種操作（例えば、読み込み、書き込み、実行など）を意味する。本実施形態では、アクセス権管理装置１００は、企業内の本社・部門・部・課といった組織形態に合わせ、各組織に所属するユーザや各組織の情報端末１１０に保管されているオブジェクトを階層構造で一元管理し、オブジェクトに対するユーザのアクセス権をユーザの集合体から成る組織毎に管理している。
【００１６】
アクセス権管理装置１００は、情報端末１１０を介して、ユーザから任意のオブジェクトに対するアクセスの要求を受け付けた際には、当該オブジェクトに対する当該ユーザが属する組織のアクセス権を確認する。そして、アクセス権管理装置１００は、アクセス要求を行ったユーザが所属する組織に対してオブジェクトへのアクセスが許可されている場合、当該組織に属するユーザに対して当該オブジェクトへのアクセス権を付与する。また、アクセス権管理装置１００は、アクセス要求を行ったユーザが所属する組織に対してオブジェクトへのアクセスが許可されていない場合、当該組織に属するユーザに対して当該オブジェクトへのアクセス権を付与しない。この場合、アクセス要求を行ったユーザは、オブジェクトに対してアクセスすることができない。
【００１７】
次に、アクセス権管理装置１００の具体的な機能構成例について説明する。図１に示すように、アクセス権管理装置１００は、組織情報記憶部１２０（本発明の階層構造情報記憶部に対応）、所有情報記憶部１４０、アクセス権情報記憶部１６０、アクセス要求受付部１８０、組織特定部２００（本発明の第１主体特定部に対応）およびアクセス権付与部２２０（本発明の第２主体特定部、位置特定部およびアクセス権付与部に対応）を備えて構成されている。
【００１８】
組織情報記憶部１２０は、複数の組織（本発明の主体に対応）からなる組織階層の構造および各組織に所属するユーザを示す組織情報（本発明の階層構造情報に対応）を記憶する。図２（ａ）は、組織情報の詳細を示す図である。図２（ａ）に示すように、組織情報は、本社・部門・部・課などの組織を示す「組織」、当該組織に所属するユーザを示す「所属ユーザ」および、当該組織の直属下位に位置する組織を示す「直属下位組織」を含む。組織情報には、これ以外の情報を含んでいても良いが、ここでは本発明に特に関係するもののみを示している。図２（ａ）の組織情報に示すように、組織１０にはユーザＡが所属しており、組織１０の直属下位には組織２０，２１が位置していることが第１レコードに設定されている。また、組織２１にはユーザＢが所属しており、組織２１の直属下位には組織３２，３３が位置していることが第２レコードに設定されている。
【００１９】
所有情報記憶部１４０は、アクセス対象のオブジェクトを所有する組織を示す所有情報を記憶する。図２（ｂ）は、所有情報の詳細を示す図である。図２（ｂ）に示すように、所有情報は、アクセス対象のオブジェクトを示す「オブジェクト」および、当該オブジェクトを所有する組織を示す「組織」を含む。所有情報には、これ以外の情報を含んでいても良いが、ここでは本発明に特に関係するもののみを示している。図２（ｂ）の所有情報に示すように、オブジェクトαは、組織３２に所有されていることが第１レコードに設定されている。また、オブジェクトβは、組織２０に所有されていることが第２レコードに設定されている。
【００２０】
アクセス権情報記憶部１６０は、上位、同位および下位という抽象的な概念により表した組織と、当該組織のオブジェクトへのアクセス権とを関連付けた情報であるアクセス権情報を記憶する。図２（ｃ）は、アクセス権情報の詳細を示す図である。図２（ｃ）に示すように、アクセス権情報は、オブジェクト毎に存在し、当該オブジェクトを所有する組織を基準にして上位、同位および下位という抽象的な概念により表した組織を示す「組織」、当該組織のオブジェクトへのアクセス（読み込み）の許否を示す「読み込み」、当該組織のオブジェクトへのアクセス（書き込み）の許否を示す「書き込み」および、当該組織のオブジェクトへのアクセス（実行）の許否を示す「実行」を含む。アクセス権情報には、これ以外の情報を含んでいても良いが、ここでは本発明に特に関係するもののみを示している。
【００２１】
なお、オブジェクトへのアクセス（読み込み）が許可されている場合、項目情報「読み込み」の値には「○（許可）」が設定される。その一方、オブジェクトへのアクセス（読み込み）が許可されていない場合、項目情報「読み込み」の値には「×（拒否）」が設定される。また、オブジェクトへのアクセス（書き込み）が許可されている場合、項目情報「書き込み」の値には「○（許可）」が設定される。その一方、オブジェクトへのアクセス（書き込み）が許可されていない場合、項目情報「書き込み」の値には「×（拒否）」が設定される。また、オブジェクトへのアクセス（実行）が許可されている場合、項目情報「実行」の値には「○（許可）」が設定される。その一方、オブジェクトへのアクセス（実行）が許可されていない場合、項目情報「実行」の値には「×（拒否）」が設定される。
【００２２】
図２（ｃ）のアクセス権情報に示すように、オブジェクトαを所有する組織を基準にして上位という抽象的な概念により表した組織に所属するユーザは、オブジェクトαへのアクセス（読み込み、書き込みおよび実行）が許可されていない。また、オブジェクトαを所有する組織を基準にして同位という抽象的な概念により表した組織に所属するユーザは、オブジェクトαへのアクセス（読み込み、書き込みおよび実行）が許可されている。また、オブジェクトαを所有する組織を基準にして下位という抽象的な概念により表した組織に所属するユーザは、オブジェクトαへのアクセス（読み込み、書き込みおよび実行）が許可されている。
【００２３】
アクセス要求受付部１８０は、情報端末１１０の操作部（図示せず）を介して、ユーザが行った任意のオブジェクトに対するアクセス（本実施形態では、読み込み、書き込みおよび実行の何れか）の要求を受け付ける。そして、アクセス要求受付部１８０は、アクセス要求されたオブジェクトを示すオブジェクト情報を組織特定部２００およびアクセス権付与部２２０に出力する。また、アクセス要求受付部１８０は、アクセスの要求を行ったユーザを示すユーザ情報および、アクセスの種別（本実施形態では、読み込み、書き込みおよび実行の何れか）を示すアクセス種別情報をアクセス権付与部２２０に出力する。本実施形態では、ユーザ情報は、あらかじめ情報端末１１０に設定されており、アクセス要求の際に情報端末１１０からアクセス要求受付部１８０に送信される。
【００２４】
組織特定部２００は、ユーザからアクセス要求のあったオブジェクトを所有している組織を所有情報に基づき特定する。具体的には、組織特定部２００は、アクセス要求受付部１８０から出力されたオブジェクト情報により示されるオブジェクトを所有している組織を、所有情報記憶部１４０に記憶されている所有情報に基づき特定する。
【００２５】
次に、組織特定部２００は、オブジェクトを所有している組織を基準にして上位、同位および下位に位置する具体的な組織を組織情報記憶部１２０に記憶されている組織情報に基づき特定する。そして、組織特定部２００は、特定した上位、同位および下位に位置する具体的な組織をそれぞれ示す上位・同位・下位組織情報をアクセス権付与部２２０に出力する。
【００２６】
具体的には、組織特定部２００は、組織情報記憶部１２０に記憶されている組織情報を参照し、オブジェクトを所有している組織が「直属下位組織」の値に設定されているレコードがあれば、その組織情報を抽出する。そして、組織特定部２００は、抽出したレコードに含まれる「組織」に設定されている組織（以下、直属上位組織という）を、オブジェクトを所有している組織を基準にして上位に位置する具体的な組織として特定する。
【００２７】
さらに、組織特定部２００は、組織情報記憶部１２０に記憶されている組織情報を参照し、直属上位組織が「直属下位組織」の値に設定されているレコードがあれば、そのレコードも抽出する。そして、組織特定部２００は、抽出したレコードに含まれる「組織」に設定されている組織も、オブジェクトを所有している組織を基準にして上位に位置する具体的な組織として特定する。以上のような処理を行うことによって、組織特定部２００は、組織情報記憶部１２０に記憶されている組織情報を参照し、オブジェクトを所有している組織を基準にして上位に位置する具体的な組織を特定することができる。
【００２８】
また、組織特定部２００は、所有情報記憶部１４０に記憶されている所有情報に基づき特定した組織をそのまま、オブジェクトを所有している組織を基準にして同位に位置する具体的な組織として特定する。
【００２９】
また、組織特定部２００は、組織情報記憶部１２０に記憶されている各組織情報を参照し、オブジェクトを所有している組織が「組織」の値に設定されているレコードがあれば、そのレコードを抽出する。そして、組織特定部２００は、抽出したレコードに含まれる「直属下位組織」に設定されている組織（以下、直属下位組織という）を、オブジェクトを所有している組織を基準にして下位に位置する具体的な組織として特定する。
【００３０】
さらに、組織特定部２００は、組織情報記憶部１２０に記憶されている組織情報を参照し、直属下位組織が「組織」の値に設定されているレコードがあれば、そのレコードも抽出する。そして、組織特定部２００は、抽出したレコードに含まれる「組織」に設定されている組織も、オブジェクトを所有している組織を基準にして下位に位置する具体的な組織として特定する。以上のような処理を行うことによって、組織特定部２００は、組織情報記憶部１２０に記憶されている組織情報を参照し、オブジェクトを所有している組織を基準にして下位に位置する具体的な組織をすべて特定することができる。
【００３１】
アクセス権付与部２２０は、アクセス要求を行ったユーザが属する組織を組織情報に基づき特定する。具体的には、アクセス権付与部２２０は、アクセス要求受付部１８０から出力されたユーザ情報により示されるユーザが属する組織を組織情報記憶部１２０に記憶されている組織情報に基づき特定する。
【００３２】
また、アクセス権付与部２２０は、アクセス権情報記憶部１６０に記憶されているアクセス権情報に基づいて、組織特定部２００から出力された上位・同位・下位組織情報により示される上位、同位および下位に位置する組織のうち、アクセス要求を行ったユーザが属する組織に所属するユーザに対して、アクセス要求のあったオブジェクトへのアクセス権を付与するように制御する。
【００３３】
具体的には、まず、アクセス権付与部２２０は、アクセス要求を行ったユーザが属する組織として特定した組織が組織特定部２００から出力された上位・同位・下位組織情報により示される上位、同位および下位に位置する具体的組織の何れかに該当するか否かについて判定する。
【００３４】
アクセス権付与部２２０は、アクセス要求を行ったユーザの属する組織が上位、同位および下位に位置する具体的な組織の何れにも該当しないと判定した場合、アクセス要求受付部１８０から出力されたユーザ情報により示されるユーザに対してアクセス要求受付部１８０から出力されたオブジェクト情報により示されるオブジェクトに対するアクセス権を付与する処理を行わない。
【００３５】
その一方、アクセス権付与部２２０は、アクセス要求を行ったユーザの属する組織が上位、同位および下位に位置する具体的な組織の何れかに該当すると判定した場合、アクセス権情報記憶部１６０に記憶されているアクセス権情報に基づいて、アクセス要求受付部１８０から出力されたオブジェクト情報により示されるオブジェクトについて、上位、同位および下位に位置する具体的な組織の何れかに該当すると判定した組織に所属するユーザが、アクセス要求受付部１８０から出力されたアクセス種別情報により示されるアクセス（読み込み、書き込みおよび実行のいずれか）を許可されているか否かについて判定する。
【００３６】
アクセス権付与部２２０は、アクセスが許可されていると判定した場合、アクセス要求受付部１８０から出力されたユーザ情報により示されるユーザに対してアクセス要求受付部１８０から出力されたオブジェクト情報により示されるオブジェクトに対するアクセス権を付与する処理を行う。その一方、アクセス権付与部２２０は、アクセスが許可されていないと判定した場合、アクセス要求受付部１８０から出力されたユーザ情報により示されるユーザに対してアクセス要求受付部１８０から出力されたオブジェクト情報により示されるオブジェクトに対するアクセス権を付与する処理を行わない。
【００３７】
以上に説明した本実施形態によるアクセス権管理装置１００の機能は、実際にはコンピュータのＣＰＵあるいはＭＰＵ、ＲＡＭ、ＲＯＭなどで構成され、ＲＡＭやＲＯＭに記憶されたプログラムが動作することによって実現できる。したがって、コンピュータが上記の機能を果たすように動作させるプログラムを例えばＣＤ−ＲＯＭのような記録媒体に記録し、コンピュータに読み込ませることによって実現できるものである。
【００３８】
上記プログラムを記録する記録媒体としては、ＣＤ−ＲＯＭ以外に、フレキシブルディスク、ハードディスク、磁気テープ、光ディスク、光磁気ディスク、ＤＶＤ、不揮発性メモリカード等を用いることができる。また、上記プログラムをインターネット等のネットワークを介してコンピュータにダウンロードすることによっても実現できる。
【００３９】
また、コンピュータが供給されたプログラムを実行することにより上述の実施形態の機能が実現されるだけでなく、そのプログラムがコンピュータにおいて稼働しているＯＳ（オペレーティングシステム）あるいは他のアプリケーションソフト等と共同して上述の実施形態の機能が実現される場合や、供給されたプログラムの処理の全てあるいは一部がコンピュータの機能拡張ボードや機能拡張ユニットにより行われて上述の実施形態の機能が実現される場合も、かかるプログラムは本実施形態に含まれる。
【００４０】
次に、アクセス権管理装置１００によるアクセス権付与処理について例を挙げて説明する。図３は、アクセス権管理装置１００によるアクセス権付与処理の例を示す図である。図３（ａ）は、複数の組織１０，２０，２１，３２，３３，４１，４２からなる組織階層の構造を示している。図３（ａ）に示すように、組織１０の直属下位には組織２０，２１が位置している。組織２１の直属下位には組織３２，３３が位置している。組織３２の直属下位には組織４１，４２が位置している。なお、図３（ａ）の例では、組織２０，３３，４１，４２の直属下位に位置する組織は存在しない。
【００４１】
図３（ｂ）は、組織情報記憶部１２０に記憶されている組織情報のうち組織２１，３２，４２，２０に関する組織情報を示している。図３（ｂ）の組織情報に示すように、組織２１，３２，４２，２０には、ユーザＡ，Ｂ，Ｃ，Ｄがそれぞれ所属する。
【００４２】
図３（ｃ）は、オブジェクトαについて、上位、同位および下位という抽象的な概念により表した組織と、当該組織に所属するユーザのオブジェクトαへのアクセス権とを関連付けたアクセス権情報の内容を示している。図３（ｄ）は、アクセス対象のオブジェクトαを所有する組織３２を示す所有情報の内容を示している。
【００４３】
まず、アクセス要求受付部１８０が、組織２１に所属するユーザＡからオブジェクトαに対するアクセス（読み込み）の要求を受け付けた場合について説明する。この場合、組織特定部２００は、ユーザＡからアクセス要求のあったオブジェクトαを所有している組織３２を図３（ｄ）に示す所有情報に基づき特定する。そして、組織特定部２００は、オブジェクトαを所有している組織３２を基準にして上位に位置する組織１０，２１、同位に位置する組織３２、下位に位置する組織４１，４２を図３（ｂ）に示す組織情報に基づき特定する。
【００４４】
次に、アクセス権付与部２２０は、アクセス要求を行ったユーザＡが属する組織２１を図３（ｂ）に示す組織情報に基づき特定する。次に、アクセス権付与部２２０は、特定した組織２１が組織特定部２００により特定された上位、同位および下位に位置する組織１０，２１，３２，４１，４２の何れかに該当するか否かについて判定する。図３の例では、アクセス権付与部２２０は、アクセス要求を行ったユーザＡが属する組織２１が、オブジェクトαを所有している組織３２を基準にして上位に位置する組織に該当すると判定する。
【００４５】
この場合、アクセス権付与部２２０は、図３（ｃ）に示すアクセス権情報に基づいて、オブジェクトαについて、上位に位置する組織２１に所属するユーザがアクセス（読み込み）を許可されているか否かについて判定する。図３の例では、アクセス権付与部２２０は、アクセスが許可されていない（項目「読み込み」の値に「×」が設定されている）と判定し、ユーザＡに対してオブジェクトαへのアクセス権を付与する処理を行わない。
【００４６】
次に、アクセス要求受付部１８０が、組織３２に所属するユーザＢからオブジェクトαに対するアクセス（書き込み）の要求を受け付けた場合について説明する。この場合、組織特定部２００は、ユーザＢからアクセス要求のあったオブジェクトαを所有している組織３２を図３（ｄ）に示す所有情報に基づき特定する。そして、組織特定部２００は、オブジェクトαを所有している組織３２を基準にして上位に位置する組織１０，２１、同位に位置する組織３２、下位に位置する組織４１，４２を図３（ｂ）に示す組織情報に基づき特定する。
【００４７】
次に、アクセス権付与部２２０は、アクセス要求を行ったユーザＢが属する組織３２を図３（ｂ）に示す組織情報に基づき特定する。次に、アクセス権付与部２２０は、特定した組織３２が組織特定部２００により特定された上位、同位および下位に位置する組織１０，２１，３２，４１，４２の何れかに該当するか否かについて判定する。図３の例では、アクセス権付与部２２０は、アクセス要求を行ったユーザＢが属する組織３２が、オブジェクトαを所有している組織３２を基準にして同位に位置する組織に該当すると判定する。この場合、アクセス権付与部２２０は、図３（ｃ）に示すアクセス権情報に基づいて、オブジェクトαについて、同位に位置する組織３２に所属するユーザがアクセス（書き込み）を許可されているか否かについて判定する。図３の例では、アクセス権付与部２２０は、アクセスが許可されている（項目「書き込み」の値に「○」が設定されている）と判定し、ユーザＢに対してオブジェクトαに対する書き込みに関するアクセス権を付与する処理を行う。
【００４８】
次に、アクセス要求受付部１８０が、組織４２に所属するユーザＣからオブジェクトαに対するアクセス（実行）の要求を受け付けた場合について説明する。この場合、組織特定部２００は、ユーザＣからアクセス要求のあったオブジェクトαを所有している組織３２を図３（ｄ）に示す所有情報に基づき特定する。そして、組織特定部２００は、オブジェクトαを所有している組織３２を基準にして上位に位置する組織１０，２１、同位に位置する組織３２、下位に位置する組織４１，４２を図３（ｂ）に示す組織情報に基づき特定する。
【００４９】
次に、アクセス権付与部２２０は、アクセス要求を行ったユーザＣが属する組織４２を図３（ｂ）に示す組織情報に基づき特定する。次に、アクセス権付与部２２０は、特定した組織４２が組織特定部２００により特定された上位、同位および下位に位置する組織１０，２１，３２，４１，４２の何れかに該当するか否かについて判定する。図３の例では、アクセス権付与部２２０は、アクセス要求を行ったユーザＣの属する組織４２が、オブジェクトαを所有している組織３２を基準にして下位に位置する組織に該当すると判定する。この場合、アクセス権付与部２２０は、図３（ｃ）に示すアクセス権情報に基づいて、オブジェクトαについて、下位に位置する組織４２に所属するユーザがアクセス（実行）を許可されているか否かについて判定する。図３の例では、アクセス権付与部２２０は、アクセスが許可されている（項目「実行」の値に「○」が設定されている）と判定し、ユーザＣに対してオブジェクトαに対する実行に関するアクセス権を付与する処理を行う。
【００５０】
最後に、アクセス要求受付部１８０が、組織２０に所属するユーザＤからオブジェクトαに対するアクセス（読み込み）の要求を受け付けた場合について説明する。この場合、組織特定部２００は、ユーザＤからアクセス要求のあったオブジェクトαを所有している組織３２を図３（ｄ）に示す所有情報に基づき特定する。そして、組織特定部２００は、オブジェクトαを所有している組織３２を基準にして上位に位置する組織１０，２１、同位に位置する組織３２、下位に位置する組織４１，４２を図３（ｂ）に示す組織情報に基づき特定する。
【００５１】
次に、アクセス権付与部２２０は、アクセス要求を行ったユーザＤが属する組織２０を図３（ｂ）に示す組織情報に基づき特定する。次に、アクセス権付与部２２０は、特定した組織２０が組織特定部２００により特定された上位、同位および下位に位置する組織１０，２１，３２，４１，４２の何れかに該当するか否かについて判定する。図３の例では、アクセス権付与部２２０は、アクセス要求を行ったユーザＤが属する組織２１が、オブジェクトαを所有している組織３２を基準にして上位、同位および下位に位置する組織の何れにも該当しないと判定する。この場合、アクセス権付与部２２０は、ユーザＤに対して、オブジェクトαに対するアクセス権を付与する処理を行わない。
【００５２】
図３を参照しながら説明したように、組織情報、所有情報およびアクセス権情報を定義しておくだけで、オブジェクトαを所有する組織３２を基準にして上位、同位および下位に位置する組織２１，３２，４２に所属するユーザＡ，Ｂ，Ｃに関する当該オブジェクトへのアクセス権が制御される。したがって、ディレクトリサービスを使用せずに、組織全体のアクセス権の管理を容易に行うことができる。
【００５３】
次に、組織階層の一部に組織変更が行われた場合におけるアクセス権管理装置１００によるアクセス権付与処理について例を挙げて説明する。図４は、組織階層の一部に組織変更が行われた場合におけるアクセス権管理装置１００によるアクセス権付与処理の例を示す図である。
【００５４】
図４（ａ）は、複数の組織１０，２０，２１，３２，３３，４１，４２からなる組織階層の構造を示している。図４（ａ）に示すように、組織１０の直属下位には組織２０，２１が位置している。組織２１の直属下位には組織３２，３３が位置している。組織３２の直属下位には組織４１，４２が位置している。なお、図４（ａ）に示す組織階層の構造は、組織変更前の状態を示しており、組織２０，３３，４１，４２の直属下位に位置する組織は存在しない。
【００５５】
図４（ｂ）は、組織情報記憶部１２０に記憶されている組織情報のうち組織２１，３２，４２，２０に関するレコードを示している。図４（ｂ）の組織情報に示すように、組織２１，３２，４２，２０には、ユーザＡ，Ｂ，Ｃ，Ｄがそれぞれ所属する。
【００５６】
図４（ｃ）は、オブジェクトαについて、上位、同位および下位という抽象的な概念により表した組織と、当該組織に所属するユーザのオブジェクトαへのアクセス権とを関連付けた情報であるアクセス権情報の内容を示している。図４（ｄ）は、アクセス対象のオブジェクトαを所有する組織３２を示す所有情報の内容を示している。なお、図４（ａ）〜（ｄ）に示す各情報は図３（ａ）〜（ｄ）に示す各情報と同じであるため、アクセス権管理装置１００によるアクセス権付与処理は図３を参照しながら説明した処理と同じである。
【００５７】
図４（ｅ）は、組織階層の一部に組織変更があった場合、複数の組織１０，２０，２１，３２，３３，４１，４２からなる組織階層の構造を示している。図４（ｅ）に示すように、組織１０の直属下位には組織２０，２１が位置している。組織２０の直属下位には組織３２が位置している。組織２１の直属下位には組織３３が位置している。組織３２の直属下位には、組織４１，４２が位置している。すなわち、組織変更によって、直属下位に組織４１，４２が位置している組織３２は、組織２１の直属下位の位置から組織２０の直属下位の位置に移動している。
【００５８】
図４（ｆ）は、組織情報記憶部１２０に記憶されている組織情報のうち組織２１，３２，４２，２０に関する組織情報を示している。図４（ｆ）に示すように、組織２１，３２，４２，２０には、ユーザＡ，Ｂ，Ｃ，Ｄがそれぞれ所属する。なお、組織変更によって、組織２１に関する組織情報の「直属下位組織」の値は、「組織３２，３３」から「組織３３」に設定変更されている。また、組織変更によって、組織２０に関する組織情報の「直属下位組織」の値は、「−（直属下位に位置する組織はない）」から「組織３２」に設定変更されている。また、図４（ｇ）は、図４（ｃ）に示すアクセス権情報と同じ情報である。図４（ｈ）は、図４（ｄ）に示す所有情報と同じ情報である。
【００５９】
まず、アクセス要求受付部１８０が、組織２１に所属するユーザＡからオブジェクトαに対するアクセス（読み込み）の要求を受け付けた場合について説明する。この場合、組織特定部２００は、ユーザＡからアクセス要求のあったオブジェクトαを所有している組織３２を図４（ｈ）に示す所有情報に基づき特定する。そして、組織特定部２００は、オブジェクトαを所有している組織３２を基準にして上位に位置する組織１０，２０、同位に位置する組織３２、下位に位置する組織４１，４２を図４（ｆ）に示す組織情報に基づき特定する。
【００６０】
次に、アクセス権付与部２２０は、アクセス要求を行ったユーザＡが属する組織２１を図４（ｆ）に示す組織情報に基づき特定する。次に、アクセス権付与部２２０は、特定した組織２１が組織特定部２００により特定された上位、同位および下位に位置する組織１０，２０，３２，４１，４２の何れかに該当するか否かについて判定する。図４の例では、アクセス権付与部２２０は、アクセス要求を行ったユーザＡの属する組織２１が、オブジェクトαを所有している組織３２を基準にして上位、同位および下位に位置する組織の何れにも該当しないと判定する。この場合、アクセス権付与部２２０は、ユーザＡに対してオブジェクトαに対するアクセス権を付与する処理を行わない。
【００６１】
次に、アクセス要求受付部１８０が、組織３２に所属するユーザＢからオブジェクトαに対するアクセス（書き込み）の要求を受け付けた場合について説明する。この場合、組織特定部２００は、ユーザＢからアクセス要求のあったオブジェクトαを所有している組織３２を図４（ｈ）に示す所有情報に基づき特定する。そして、組織特定部２００は、オブジェクトαを所有している組織３２を基準にして上位に位置する組織１０，２０、同位に位置する組織３２、下位に位置する組織４１，４２を図４（ｆ）に示す組織情報に基づき特定する。
【００６２】
次に、アクセス権付与部２２０は、アクセス要求を行ったユーザＢが属する組織３２を図４（ｆ）に示す組織情報に基づき特定する。次に、アクセス権付与部２２０は、特定した組織３２が組織特定部２００により特定された上位、同位および下位に位置する組織１０，２０，３２，４１，４２の何れかに該当するか否かについて判定する。図４の例では、アクセス権付与部２２０は、アクセス要求を行ったユーザＢが属する組織３２が、オブジェクトαを所有している組織３２を基準にして同位に位置する組織に該当すると判定する。この場合、アクセス権付与部２２０は、図４（ｇ）に示すアクセス権情報に基づいて、オブジェクトαについて、同位に位置する組織３２に所属するユーザがアクセス（書き込み）を許可されているか否かについて判定する。図４の例では、アクセス権付与部２２０は、アクセスが許可されている（項目「書き込み」の値に「○」が設定されている）と判定し、ユーザＢに対してオブジェクトαに対する書き込みに関するアクセス権を付与する処理を行う。
【００６３】
次に、アクセス要求受付部１８０が、組織４２に所属するユーザＣからオブジェクトαに対するアクセス（実行）の要求を受け付けた場合について説明する。この場合、組織特定部２００は、ユーザＣからアクセス要求のあったオブジェクトαを所有している組織３２を図４（ｈ）に示す所有情報に基づき特定する。そして、組織特定部２００は、オブジェクトαを所有している組織３２を基準にして上位に位置する組織１０，２０、同位に位置する組織３２、下位に位置する組織４１，４２を図４（ｆ）に示す組織情報に基づき特定する。
【００６４】
次に、アクセス権付与部２２０は、アクセス要求を行ったユーザＣが属する組織４２を図４（ｆ）に示す組織情報に基づき特定する。次に、アクセス権付与部２２０は、特定した組織４２が組織特定部２００により特定された上位、同位および下位に位置する組織１０，２０，３２，４１，４２の何れかに該当するか否かについて判定する。図４の例では、アクセス権付与部２２０は、アクセス要求を行ったユーザＣが属する組織４２が、オブジェクトαを所有している組織３２を基準にして下位に位置する組織に該当すると判定する。この場合、アクセス権付与部２２０は、図４（ｇ）に示すアクセス権情報に基づいて、オブジェクトαについて、下位に位置する組織４２に所属するユーザがアクセス（実行）を許可されているか否かについて判定する。図４の例では、アクセス権付与部２２０は、アクセスが許可されている（項目「実行」の値に「○」が設定されている）と判定し、ユーザＣに対してオブジェクトαに対する実行に関するアクセス権を付与する処理を行う。
【００６５】
最後に、アクセス要求受付部１８０が、組織２０に所属するユーザＤからオブジェクトαに対するアクセス（読み込み）の要求を受け付けた場合について説明する。この場合、組織特定部２００は、ユーザＤからアクセス要求のあったオブジェクトαを所有している組織３２を図４（ｈ）に示す所有情報に基づき特定する。そして、組織特定部２００は、オブジェクトαを所有している組織３２を基準にして上位に位置する組織１０，２０、同位に位置する組織３２、下位に位置する組織４１，４２を図４（ｆ）に示す組織情報に基づき特定する。
【００６６】
次に、アクセス権付与部２２０は、アクセス要求を行ったユーザＤが属する組織２０を図４（ｆ）に示す組織情報に基づき特定する。次に、アクセス権付与部２２０は、特定した組織２０が組織特定部２００により特定された上位、同位および下位に位置する組織１０，２０，３２，４１，４２の何れかに該当するか否かについて判定する。図４の例では、アクセス権付与部２２０は、アクセス要求を行ったユーザＤが属する組織２０が、オブジェクトαを所有している組織３２を基準にして上位に位置する組織に該当すると判定する。この場合、アクセス権付与部２２０は、図４（ｇ）に示すアクセス権情報に基づいて、オブジェクトαについて、上位に位置する組織２０に所属するユーザがアクセス（読み込み）を許可されているか否かについて判定する。図４の例では、アクセス権付与部２２０は、アクセスが許可されていない（項目「読み込み」の値に「×」が設定されている）と判定し、ユーザＤに対してオブジェクトαに対するアクセス権を付与する処理を行わない。
【００６７】
図４を参照しながら説明したように、組織変更でオブジェクトαを所有する組織３２の上位に位置する組織に変更があった場合でも、管理者が組織情報を変更するという簡単な処理を行うだけで、組織変更後のオブジェクトαを所有する組織３２の上位に位置する組織２０や下位に位置する組織４２に所属するユーザＣ，Ｄに関するオブジェクトαへのアクセス権が自動的に制御される。したがって、組織変更があっても、組織全体のアクセス権の管理を容易に行うことができる。
【００６８】
次に、人事異動が行われた場合におけるアクセス権管理装置１００によるアクセス権付与処理について例を挙げて説明する。図５は、人事異動が行われた場合におけるアクセス権管理装置１００によるアクセス権付与処理の例を示す図である。
【００６９】
図５（ａ）は、複数の組織１０，２０，２１，３２，３３，４１，４２からなる組織階層の構造を示している。図５（ａ）に示すように、組織１０の直属下位には組織２０，２１が位置している。組織２１の直属下位には組織３２，３３が位置している。組織３２の直属下位には組織４１，４２が位置している。なお、図５（ａ）に示す組織階層の構造では、組織２０，３３，４１，４２の直属下位に位置する組織は存在しない。
【００７０】
図５（ｂ）は、組織情報記憶部１２０に記憶されている組織情報のうち組織２１，３２，４２，２０に所属するユーザを示す組織情報を示している。図５（ｂ）の組織情報に示すように、組織２１，３２，４２，２０には、ユーザＡ，Ｂ，Ｃ，Ｄがそれぞれ所属している。
【００７１】
図５（ｃ）は、オブジェクトαについて、上位、同位および下位という抽象的な概念により表した組織と、当該組織に所属するユーザのオブジェクトαへのアクセス権とを関連付けた情報であるアクセス権情報の内容を示している。図５（ｄ）は、アクセス対象のオブジェクトαを所有する組織３２を示す所有情報の内容を示している。なお、図５（ａ）〜（ｄ）に示す各情報は図３（ａ）〜（ｄ）に示す各情報と同じであるため、アクセス権管理装置１００によるアクセス権付与処理は図３を参照しながら説明した処理と同じである。
【００７２】
図５（ｅ）は、人事異動が行われた場合、複数の組織１０，２０，２１，３２，３３，４１，４２からなる組織階層の構造を示している。図５（ｅ）に示すように、組織１０の直属下位には組織２０，２１が位置している。組織２１の直属下位には組織３２，３３が位置している。組織３２の直属下位には組織４１，４２が位置している。
【００７３】
図５（ｆ）は、組織情報記憶部１２０に記憶されている組織情報のうち組織２１，３２，４２，２０に関する組織情報を示している。図５（ｆ）に示すように、組織２１には、ユーザＡに加えて、人事異動（例えば、昇格）によりユーザＢが新たに所属する。すなわち、組織２１に関する組織情報の「所属ユーザ」の値は、「ユーザＡ」から「ユーザＡ，Ｂ」に設定変更されている。組織３２には、人事異動により所属するユーザがいなくなっている。すなわち、組織３２に関する組織情報の「所属ユーザ」の値は、「ユーザＢ」から「−（所属するユーザはなし）」に設定変更されている。
【００７４】
組織２０には、ユーザＤが所属する。組織４２には、ユーザＣに加えて、人事変更（例えば、転職）によりユーザＥが新たに所属する。すなわち、組織４２に関する組織情報の「所属ユーザ」の値は、「ユーザＣ」から「ユーザＣ，Ｅ」に設定変更されている。図５（ｇ）は、図５（ｃ）に示すアクセス権情報と同じ情報である。図５（ｈ）は、図５（ｄ）に示す所有情報と同じ情報である。
【００７５】
まず、アクセス要求受付部１８０が、組織２１に新たに所属することとなったユーザＢからオブジェクトαに対するアクセス（読み込み）の要求を受け付けた場合について説明する。この場合、組織特定部２００は、ユーザＢからアクセス要求のあったオブジェクトαを所有している組織３２を図５（ｈ）に示す所有情報に基づき特定する。そして、組織特定部２００は、オブジェクトαを所有している組織３２を基準にして上位に位置する組織１０，２１、同位に位置する組織３２、下位に位置する組織４１，４２を図５（ｆ）に示す組織情報に基づき特定する。
【００７６】
次に、アクセス権付与部２２０は、アクセス要求を行ったユーザＢが属する組織２１を図５（ｆ）に示す組織情報に基づき特定する。次に、アクセス権付与部２２０は、特定した組織２１が組織特定部２００により特定された上位、同位および下位に位置する組織１０，２１，３２，４１，４２の何れかに該当するか否かについて判定する。図５の例では、アクセス権付与部２２０は、アクセス要求を行ったユーザＢが属する組織２１が、オブジェクトαを所有している組織３２を基準にして上位に位置する組織に該当すると判定する。この場合、アクセス権付与部２２０は、図５（ｇ）に示すアクセス権情報に基づいて、オブジェクトαについて、上位に位置する組織２１に所属するユーザがアクセス（読み込み）を許可されているか否かについて判定する。図５の例では、アクセス権付与部２２０は、アクセスが許可されていない（項目「読み込み」の値に「×」が設定されている）と判定し、ユーザＢに対してオブジェクトαに対するアクセス権を付与する処理を行わない。
【００７７】
次に、アクセス要求受付部１８０が、組織４２に新たに所属することとなったユーザＥからオブジェクトαに対するアクセス（実行）の要求を受け付けた場合について説明する。この場合、組織特定部２００は、ユーザＥからアクセス要求のあったオブジェクトαを所有している組織３２を図５（ｈ）に示す所有情報に基づき特定する。そして、組織特定部２００は、オブジェクトαを所有している組織３２を基準にして上位に位置する組織１０，２１、同位に位置する組織３２、下位に位置する組織４１，４２を組織情報記憶部１２０に記憶されている組織情報に基づき特定する。
【００７８】
次に、アクセス権付与部２２０は、アクセス要求を行ったユーザＥが属する組織２０を図５（ｆ）に示す組織情報に基づき特定する。次に、アクセス権付与部２２０は、特定した組織２０が組織特定部２００により特定された上位、同位および下位に位置する組織１０，２１，３２，４１，４２の何れかに該当するか否かについて判定する。図５の例では、アクセス権付与部２２０は、アクセス要求を行ったユーザＥが属する組織４２が、オブジェクトαを所有している組織３２を基準にして下位に位置する組織に該当すると判定する。この場合、アクセス権付与部２２０は、図５（ｇ）に示すアクセス権情報に基づいて、オブジェクトαについて、下位に位置する組織４２に所属するユーザがアクセス（実行）を許可されているか否かについて判定する。図５の例では、アクセス権付与部２２０は、アクセスが許可されている（項目「書き込み」の値に「○」が設定されている）と判定し、ユーザＥに対してオブジェクトαに対する実行に関するアクセス権を付与する処理を行う。
【００７９】
図５を参照しながら説明したように、人事異動により、オブジェクトαを所有している組織３２を基準にして同位に位置する組織３２から上位に位置する組織２１にユーザＢが移動したり、下位に位置する組織４２にユーザＥの追加が行われた場合でも、管理者が組織情報を変更するという簡単な処理を行うだけで、人事異動後に異動対象のユーザＢ，Ｅに関するオブジェクトαへのアクセス権が自動的に制御される。したがって、人事異動があっても、組織全体のアクセス権の管理を容易に行うことができる。
【００８０】
次に、オブジェクトを所有している組織の変更が行われた場合におけるアクセス権管理装置１００によるアクセス権付与処理について例を挙げて説明する。図６は、オブジェクトを所有している組織の変更が行われた場合におけるアクセス権管理装置１００によるアクセス権付与処理の例を示す図である。
【００８１】
図６（ａ）は、複数の組織１０，２０，２１，３２，３３，４１，４２からなる組織階層の構造を示している。図６（ａ）に示すように、組織１０の直属下位には組織２０，２１が位置している。組織２１の直属下位には組織３２，３３が位置している。組織３２の直属下位には組織４１，４２が位置している。なお、図６（ａ）に示す組織階層の構造では、組織２０，３３，４１，４２の直属下位に位置する組織は存在しない。
【００８２】
図６（ｂ）は、組織情報記憶部１２０に記憶されている組織情報のうち組織２１，３２，４２，２０に所属するユーザを示す組織情報を示している。図６（ｂ）の組織情報に示すように、組織２１，３２，４２，２０には、ユーザＡ，Ｂ，Ｃ，Ｄがそれぞれ所属している。
【００８３】
図６（ｃ）は、オブジェクトαについて、上位、同位および下位という抽象的な概念により表した組織と、当該組織に所属するユーザのオブジェクトαへのアクセス権とを関連付けた情報であるアクセス権情報の内容を示している。図６（ｄ）は、アクセス対象のオブジェクトαを所有する組織３２を示す所有情報の内容を示している。なお、図６（ａ）〜（ｄ）に示す各情報は図３（ａ）〜（ｄ）に示す各情報と同じであるため、アクセス権管理装置１００によるアクセス権付与処理は図３を参照しながら説明した処理と同じである。
【００８４】
図６（ｅ）は、オブジェクトを所有している組織の変更が行われた場合、複数の組織１０，２０，２１，３２，３３，４１，４２からなる組織階層の構造を示している。図６（ｅ）に示すように、組織１０の直属下位には組織２０，２１が位置している。組織２１の直属下位には組織３２，３３が位置している。組織３２の直属下位には組織４１，４２が位置している。
【００８５】
図６（ｆ）は、図６（ｂ）に示す組織情報と同じ情報である。図６（ｇ）は、図６（ｃ）に示すアクセス権情報と同じ情報である。図６（ｈ）は、アクセス対象のオブジェクトαを所有する組織３２を示す所有情報の内容を示している。図６（ｈ）に示すように、オブジェクトを所有している組織の変更によって、オブジェクトαに関する所有情報の「組織」の値は、「組織３２」から「組織２０」に設定変更されている。
【００８６】
まず、アクセス要求受付部１８０が、組織２１に所属するユーザＡからオブジェクトαに対するアクセス（読み込み）の要求を受け付けた場合について説明する。この場合、組織特定部２００は、ユーザＡからアクセス要求のあったオブジェクトαを所有している組織２０を図６（ｈ）に示す所有情報に基づき特定する。そして、組織特定部２００は、オブジェクトαを所有している組織２０を基準にして上位に位置する組織１０および同位に位置する組織２０（下位に位置する組織はなし）を図６（ｆ）に示す組織情報に基づき特定する。
【００８７】
次に、アクセス権付与部２２０は、アクセス要求を行ったユーザＡが属する組織２１を図６（ｆ）に示す組織情報に基づき特定する。次に、アクセス権付与部２２０は、特定した組織２１が組織特定部２００により特定された上位および同位に位置する組織１０，２０の何れかに該当するか否かについて判定する。図６の例では、アクセス権付与部２２０は、アクセス要求を行ったユーザＡが属する組織２１が、オブジェクトαを所有している組織２０を基準にして上位および同位に位置する組織１０，２０の何れにも該当しないと判定する。この場合、アクセス権付与部２２０は、ユーザＡに対して、オブジェクトαに対するアクセス権を付与する処理を行わない。
【００８８】
次に、アクセス要求受付部１８０が、組織３２に所属するユーザＢからオブジェクトαに対するアクセス（書き込み）の要求を受け付けた場合について説明する。この場合、組織特定部２００は、ユーザＢからアクセス要求のあったオブジェクトαを所有している組織２０を図６（ｈ）に示す所有情報に基づき特定する。そして、組織特定部２００は、オブジェクトαを所有している組織２０を基準にして上位に位置する組織１０および同位に位置する組織２０（下位に位置する組織はなし）を図６（ｆ）に示す組織情報に基づき特定する。
【００８９】
次に、アクセス権付与部２２０は、アクセス要求を行ったユーザＢが属する組織３２を図６（ｆ）に示す組織情報に基づき特定する。次に、アクセス権付与部２２０は、特定した組織３２が組織特定部２００により特定された上位および同位に位置する組織１０，２０の何れかに該当するか否かについて判定する。図６の例では、アクセス権付与部２２０は、アクセス要求を行ったユーザＢが属する組織３２が、オブジェクトαを所有している組織２０を基準にして上位および同位に位置する組織１０，２０の何れにも該当しないと判定する。この場合、アクセス権付与部２２０は、ユーザＢに対してオブジェクトαに対するアクセス権を付与する処理を行わない。
【００９０】
次に、アクセス要求受付部１８０が、組織４２に所属するユーザＣからオブジェクトαに対するアクセス（実行）の要求を受け付けた場合について説明する。この場合、組織特定部２００は、ユーザＣからアクセス要求のあったオブジェクトαを所有している組織２０を図６（ｈ）に示す所有情報に基づき特定する。そして、組織特定部２００は、オブジェクトαを所有している組織２０を基準にして上位に位置する組織１０および同位に位置する組織２０（下位に位置する組織はなし）を図６（ｆ）に示す組織情報に基づき特定する。
【００９１】
次に、アクセス権付与部２２０は、アクセス要求を行ったユーザＣが属する組織４２を図６（ｆ）に示す組織情報に基づき特定する。次に、アクセス権付与部２２０は、特定した組織４２が組織特定部２００により特定された上位および同位に位置する組織１０，２０の何れかに該当するか否かについて判定する。図６の例では、アクセス権付与部２２０は、アクセス要求を行ったユーザＣが属する組織４２が、オブジェクトαを所有している組織２０を基準にして上位および同位に位置する組織１０，２０の何れにも該当しないと判定する。この場合、アクセス権付与部２２０は、ユーザＣに対してオブジェクトαに対するアクセス権を付与する処理を行わない。
【００９２】
最後に、アクセス要求受付部１８０が、組織２０に所属するユーザＤからオブジェクトαに対するアクセス（読み込み）の要求を受け付けた場合について説明する。この場合、組織特定部２００は、ユーザＤからアクセス要求のあったオブジェクトαを所有している組織２０を図６（ｈ）に示す所有情報に基づき特定する。そして、組織特定部２００は、オブジェクトαを所有している組織２０を基準にして上位に位置する組織１０および同位に位置する組織２０（下位に位置する組織はなし）を図６（ｆ）に示す組織情報に基づき特定する。
【００９３】
次に、アクセス権付与部２２０は、アクセス要求を行ったユーザＤが属する組織２０を図６（ｆ）に示す組織情報に基づき特定する。次に、アクセス権付与部２２０は、特定した組織２０が組織特定部２００により特定された上位および同位に位置する組織１０，２０の何れかに該当するか否かについて判定する。図６の例では、アクセス権付与部２２０は、アクセス要求を行ったユーザＤが属する組織２０が、オブジェクトαを所有している組織２０を基準にして同位に位置する組織に該当すると判定する。この場合、アクセス権付与部２２０は、図６（ｇ）に示すアクセス権情報に基づいて、オブジェクトαについて、同位に位置する組織２０に所属するユーザがアクセス（読み込み）を許可されているか否かについて判定する。図６の例では、アクセス権付与部２２０は、アクセスが許可されている（項目「読み込み」の値に「○」が設定されている）と判定し、ユーザＤに対して、オブジェクトαに対する書き込みに関するアクセス権を付与する処理を行う。
【００９４】
図６を参照しながら説明したように、オブジェクトαを所有している組織の変更によって、オブジェクトαを所有する組織の上位、同位および下位に位置する組織に変更があった場合でも、管理者が組織情報を変更するという簡単な処理を行うだけで、オブジェクトαを所有している組織の変更後の上位、同位および下位に位置する組織に所属するユーザに関するオブジェクトαへのアクセス権が自動的に制御される。したがって、オブジェクトを所有している組織の変更があっても、組織全体のアクセス権の管理を容易に行うことができる。
【００９５】
次に、本実施形態によるアクセス権管理装置１００のアクセス権付与に関する動作について説明する。図７は、本実施形態によるアクセス権管理装置１００のアクセス権付与に関する動作例を示すフローチャートである。まず、アクセス要求受付部１８０は、情報端末１１０の操作部（図示せず）を介して、ユーザが行った任意のオブジェクトに対するアクセス（本実施形態では、読み込み、書き込みおよび実行の何れか）の要求を受け付けたか否かについて判定する（ステップＳ１００）。
【００９６】
もし、アクセスの要求を受け付けていないとアクセス要求受付部１８０にて判定した場合（ステップＳ１００にてＮＯ）、処理はステップＳ２４０に遷移する。一方、アクセスの要求を受け付けたとアクセス要求受付部１８０にて判定した場合（ステップＳ１００にてＹＥＳ）、アクセス要求受付部１８０は、アクセス要求されたオブジェクトを示すオブジェクト情報を組織特定部２００およびアクセス権付与部２２０に出力する。また、アクセス要求受付部１８０は、アクセスの要求を行ったユーザを示すユーザ情報および、当該アクセスの種別（本実施形態では、読み込み、書き込みおよび実行の何れか）を示すアクセス種別情報をアクセス権付与部２２０に出力する。
【００９７】
次に、組織特定部２００は、アクセス要求受付部１８０から出力されたオブジェクト情報により示されるオブジェクトを所有している組織を所有情報記憶部１４０に記憶されている所有情報に基づき特定する（ステップＳ１２０）。次に、組織特定部２００は、特定した組織を基準にして上位、同位および下位に位置する具体的な組織を組織情報記憶部１２０に記憶されている組織情報に基づき特定する（ステップＳ１４０）。そして、組織特定部２００は、特定した上位、同位および下位に位置する具体的な組織をそれぞれ示す上位・同位・下位組織情報をアクセス権付与部２２０に出力する。
【００９８】
次に、アクセス権付与部２２０は、アクセス要求受付部１８０から出力されたユーザ情報により示されるユーザが属する組織を組織情報記憶部１２０に記憶されている組織情報に基づき特定する（ステップＳ１６０）。次に、アクセス権付与部２２０は、アクセス要求を行ったユーザが属する組織として特定した組織が組織特定部２００から出力された上位・同位・下位組織情報により示される上位、同位および下位に位置する具体的組織の何れかに該当するか否かについて判定する（ステップＳ１８０）。
【００９９】
もし、上位、同位および下位に位置する具体的な組織の何れにも該当しないとアクセス権付与部２２０にて判定した場合（ステップＳ１８０にてＮＯ）、処理はステップＳ２４０に遷移する。一方、上位、同位および下位に位置する具体的な組織の何れかに該当するとアクセス権付与部２２０にて判定した場合（ステップＳ１８０にてＹＥＳ）、アクセス権付与部２２０は、アクセス権情報記憶部１６０に記憶されているアクセス権情報に基づいて、アクセス要求受付部１８０から出力されたオブジェクト情報により示されるオブジェクトについて、上位、同位および下位に位置する具体的な組織の何れかに該当すると判定した組織に所属するユーザがアクセス要求受付部１８０から出力されたアクセス種別情報により示されるアクセス（読み込み、書き込みおよび実行のいずれか）を許可されているか否かについて判定する（ステップＳ２００）。
【０１００】
もし、アクセスが許可されていないとアクセス権付与部２２０にて判定した場合（ステップＳ２００にてＮＯ）、処理はステップＳ２４０に遷移する。一方、アクセスが許可されているとアクセス権付与部２２０にて判定した場合（ステップＳ２００にてＹＥＳ）、アクセス権付与部２２０は、アクセス要求受付部１８０から出力されたユーザ情報により示されるユーザに対して、アクセス要求受付部１８０から出力されたオブジェクト情報により示されるオブジェクトに対するアクセス権を付与する処理を行う（ステップＳ２２０）。
【０１０１】
最後に、アクセス権管理装置１００は、アクセス権管理装置１００に備えられた操作部（図示せず）に対してユーザによる電源オフ操作が行なわれたか否かについて判定する（ステップＳ２４０）。もし、電源オフ操作が行なわれていないとアクセス権管理装置１００にて判定した場合（ステップＳ２４０にてＮＯ）、処理はステップＳ１００に遷移する。一方、電源オフ操作が行なわれたとアクセス権管理装置１００にて判定した場合（ステップＳ２４０にてＹＥＳ）、アクセス権管理装置１００は図７における処理を終了する。
【０１０２】
以上詳しく説明したように、本実施形態では、組織情報を記憶する組織情報記憶部１２０、所有情報を記憶する所有情報記憶部１４０および、アクセス権情報を記憶するアクセス権情報記憶部１６０を備えている。そして、情報端末１１０の操作部を介してユーザからアクセス要求のあったオブジェクトを所有している組織を所有情報に基づき特定するとともに、当該特定した組織を基準にして上位、同位および下位に位置する具体的な組織を組織情報に基づき特定し、アクセス権情報に基づいて、当該特定した具体的な組織に所属するユーザに関するオブジェクトへのアクセス権を制御するようにしている。
【０１０３】
このように構成した本実施形態によれば、組織情報、所有情報およびアクセス権情報を組織情報記憶部１２０、所有情報記憶部１４０およびアクセス権情報記憶部１６０にそれぞれ定義しておくだけで、オブジェクトを所有する組織を基準にして上位、同位および下位に位置する組織に所属するユーザに関する当該オブジェクトへのアクセス権が制御される。
【０１０４】
さらに、本実施形態では、アクセス権情報においてアクセス権を付与する対象組織を抽象的な概念（上位、同位および下位）で特定している。これにより、組織変更でオブジェクトを所有する組織の上位または下位に位置する組織に変更が行われたり、人事異動により当該上位または下位の組織に属するユーザの変更が行われた場合でも、管理者が組織情報を変更するという簡単な処理を行うだけで、組織変更後の上位組織や下位組織や、人事異動後のユーザに関するオブジェクトへのアクセス権が自動的に制御される。したがって、ディレクトリサービスを使用せずに、組織変更や人事異動があっても、組織全体のアクセス権の管理を容易に行うことができる。
【０１０５】
また、本実施形態によれば、オブジェクトを所有している組織の変更が行われたことによって、オブジェクトを所有している組織の上位、同位および下位に位置する組織に変更があった場合でも、管理者が所有情報を変更するという簡単な処理を行うだけで、オブジェクトを所有している組織の変更後の上位組織、同位組織および下位組織に所属するユーザに関するオブジェクトへのアクセス権が自動的に制御される。したがって、オブジェクトを所有している組織の変更があっても、組織全体のアクセス権の管理を容易に行うことができる。
【０１０６】
なお、上記実施形態では、アクセス権情報においてアクセス権を付与する対象組織を上位、同位および下位という抽象的な概念で特定する例について説明したが、本発明はこれに限定されない。例えば、アクセス権情報においてアクセス権を付与する対象組織を直属上位、同位および直属下位という抽象的な概念で特定するようにしても良い。また、アクセス権情報においてアクセス権を付与する対象組織を上位、直属上位、同位、直属下位および下位という抽象的な概念で特定するようにしても良い。このようにすれば、ユーザに関するオブジェクトへのアクセス権をきめ細かく制御することができるので、より好ましい。
【０１０７】
ただし、アクセス権情報においてアクセス権を付与する対象組織を上位、直属上位、同位、直属下位および下位という抽象的な概念で特定する場合には、上位および直属上位の両方に位置する組織に該当することが発生する可能性がある。この場合、アクセス権情報において上位に位置する組織に対して設定されたアクセス権をユーザに対して付与するのか、または、直属上位に対して設定されたアクセス権をユーザに対して付与するのか問題となる。この問題に対しては、例えば、アクセス権情報において、上位に位置する組織に対して設定されたアクセス権、直属上位に対して設定されたアクセス権のうち、より上位（または下位）のレコードに設定されたアクセス権をユーザに対して優先的に付与するようにしても良い。
【０１０８】
また、上記実施形態では、アクセス要求を行ったユーザの属する組織が、オブジェクトを所有している組織を基準にして上位、同位および下位の何れにも該当しない場合、当該ユーザに対してオブジェクトに対するアクセス権を付与する処理を行わない例について説明したが、本発明はこれに限定されない。例えば、アクセス要求を行ったユーザの属する組織が、オブジェクトを所有している組織を基準にして上位、同位および下位の何れにも該当しない場合であっても、あらかじめ設定されたデフォルトのアクセス権（例えば、オブジェクトの読み込みのみ可能）を付与するようにしても良い。
【０１０９】
また、上記実施形態では、ユーザに関するオブジェクトへのアクセス権の種類として、読み込み、書き込みおよび実行が存在する例について説明したが、本発明はこれに限定されない。例えば、ユーザに関するオブジェクトへのアクセス権の種類として、読み込み、書き込みおよび実行以外に、削除や印刷などが存在しても良い。
【０１１０】
また、上記実施形態では、ユーザからアクセス要求のあったオブジェクトを所有する組織を特定した後、当該特定した組織を基準にして上位、同位および下位に位置する具体的な組織を特定する例について説明したが、本発明における処理の流れはこれに限定されない。例えば、ユーザからアクセス要求のあったオブジェクトを所有する組織を特定した後、アクセス要求を行ったユーザが属する組織を特定する。そして、当該オブジェクトを所有する組織を基準にして当該ユーザの属する組織が上位、同位および下位のうち何れの位置に該当するかを特定し、当該特定した位置に該当する組織に所属するユーザに対して、アクセス要求のあったオブジェクトへのアクセス権を付与するようにしても良い。
【０１１１】
また、上記実施形態では、複数の組織を階層構造で管理し、オブジェクトに対するユーザのアクセス権を組織毎に管理する例について説明したが、本発明はこれに限定されない。例えば、組織という概念をなくし、複数のユーザを階層構造で管理し、オブジェクトに対するユーザのアクセス権をユーザ毎に管理するようにしても良い。すなわち、本発明の主体は、組織やユーザグループのように、アクセスを直接要求する一次主体への解決を必要とする二次主体に限らず、アクセスを直接要求するユーザのような一次主体であっても良い。
【０１１２】
また、アクセス権情報記憶部１６０に記憶されるアクセス権情報には、上位、同位および下位という抽象的な概念により表した組織と当該組織に所属するユーザのオブジェクトへのアクセス権とを関連付けた情報だけでなく、具体的な組織（例えば、組織１０）と当該組織に所属するユーザのオブジェクトへのアクセス権とを関連付けた情報が含まれても良い。
【０１１３】
その他、上記実施形態は、何れも本発明を実施するにあたっての具体化の一例を示したものに過ぎず、これらによって本発明の技術的範囲が限定的に解釈されてはならないものである。すなわち、本発明はその精神、またはその主要な特徴から逸脱することなく、様々な形で実施することができる。
【符号の説明】
【０１１４】
１０，２０，２１，３２，３３，４１，４２ 組織
Ａ，Ｂ，Ｃ，Ｄ，Ｅ ユーザ
α，β オブジェクト
５０ アクセス権管理システム
１００ アクセス権管理装置
１１０ 情報端末
１２０ 組織情報記憶部
１４０ 所有情報記憶部
１６０ アクセス権情報記憶部
１８０ アクセス要求受付部
２００ 組織特定部
２２０ アクセス権付与部
【技術分野】
【０００１】
本発明は、アクセス権管理装置およびアクセス権管理プログラムに関し、例えば、組織階層に基づき各組織に所属するユーザに対して、オブジェクト（ファイルやフォルダ）のアクセス権を付与するアクセス権管理装置およびアクセス権管理プログラムに関するものである。
【背景技術】
【０００２】
ファイル管理システムでは、オブジェクト（ファイルやフォルダ）に対するアクセス権をユーザや、複数のユーザからなるグループに対して付与し、アクセス権が与えられたユーザ又はグループからのみ当該オブジェクトへのアクセスを認めるようなアクセス権管理を行うものが多い。
【０００３】
アクセス権管理の代表的な方法として、アクセス制御リスト（ＡＣＬ：Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｌｉｓｔ）を用いる方法が知られている。アクセス制御リストは、個々のユーザ又はグループと、それらに対して与えられているオブジェクトへのアクセス権限の種類とをオブジェクト毎にリストとして定義したものである。
【０００４】
ところで、企業においては、部や課などの複数の組織からなる組織階層の構造および各組織に所属する社員を示す組織情報を組織データベースで管理している。そして、ファイル管理システムにおけるアクセス権管理を、組織データベースに連動させる運用を行っている場合も多い。この場合、社員および組織は、アクセス制御リスト（ＡＣＬ）によりアクセス権が付与されるユーザおよびグループにそれぞれ対応する。
【０００５】
このように、アクセス権管理を組織データベースに連動させて行っている場合、管理者は、企業内において組織変更や人事異動を行う都度、組織データベースを変更するだけでなく、アクセス制御リストも変更しなければならず、当該管理者の負担が重いという問題があった。
【０００６】
一方、企業内の本社・部門・部・課といった組織形態に合わせ、ユーザやオブジェクトを階層構造で一元管理し、オブジェクトに対するユーザのアクセス権を容易に設定することができるディレクトリサービスが普及している。例えば、階層構造において上位組織に設定したアクセス権をそのまま下位組織に継承させることができる。この継承機能を使用すれば、アクセス権を設定した上位組織の下位組織に変更があった場合や、人事異動により下位組織に新規ユーザの追加があった場合でも、当該下位組織に所属するユーザに対して上位組織のアクセス権を継承させることができる。
【０００７】
なお、ディレクトリサービスを利用した技術として、下位組織に設定した権限をそのまま上位組織に継承させることができるようにしたものが開示されている（例えば、特許文献１を参照）。この特許文献１に記載の技術によれば、組織階層と逆向きのグループ階層をディレクトリサービスデータベースに登録し、上位組織（例えば、部グループ）を下位組織（例えば、課グループ）のメンバとして登録することにより、下位組織が有する権限を上位組織に所属するユーザに委譲できるようにしている。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２００８−１１７０５２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
しかしながら、特許文献１に記載の技術には、以下に示すような問題点があった。すなわち、アクセス権を設定した下位組織の上位組織に変更があった場合や、人事異動により上位組織に新規ユーザの追加があった場合、その都度、組織変更や人事異動の結果を反映した組織階層と逆向きのグループ階層をディレクトリサービスデータベースに登録し直す必要があった。そのため、組織全体のアクセス権の管理のために、管理者は面倒な作業を強いられていた。
【００１０】
本発明は、このような問題を解決するために成されたものであり、ディレクトリサービスを使用せずに、組織変更や人事異動があっても、組織全体のアクセス権の管理を容易に行うことができるようにすることを目的とする。
【課題を解決するための手段】
【００１１】
上記した課題を解決するために、本発明では、上位、同位および下位という抽象的な概念により表した主体と、当該主体のオブジェクトへのアクセス権とを関連付けてアクセス権情報を構成する。ある主体からオブジェクトへのアクセス要求があったとき、そのオブジェクトを所有する主体を所有情報に基づき特定するとともに、当該アクセス要求を行った主体を階層構造情報に基づき特定する。そして、オブジェクトの所有主体を基準として、アクセス要求を行った主体が上位、同位および下位のうち何れの位置に該当するかを特定し、特定した位置に対応するアクセス権をアクセス権情報に基づき付与するようにしている。
【発明の効果】
【００１２】
上記のように構成した本発明によれば、階層構造情報、所有情報およびアクセス権情報を定義しておくだけで、オブジェクトを所有する主体を基準にして上位、同位および下位に位置する主体に関する当該オブジェクトへのアクセス権が制御される。さらに、主体がユーザの属する組織である場合には、アクセス権情報においてアクセス権を付与する対象組織を抽象的な概念（上位、同位および下位）で特定することにより、組織変更でオブジェクトを所有する組織の上位または下位に位置する組織に変更があったり、人事異動により当該上位または下位の組織に属するユーザに変更があったときでも、管理者が階層構造情報を変更するという簡単な処理を行うだけで、組織変更後の上位または下位の組織や、人事異動後のユーザに関するオブジェクトへのアクセス権が自動的に制御される。したがって、ディレクトリサービスを使用せずに、組織変更や人事異動があっても、組織全体のアクセス権の管理を容易に行うことができる。
【図面の簡単な説明】
【００１３】
【図１】本実施形態によるアクセス権管理装置を含むアクセス権管理システムの全体構成例を示すブロック図である。
【図２】本実施形態によるアクセス権管理装置において使用される各種情報の例を示す図である。
【図３】本実施形態によるアクセス権管理装置のアクセス権付与処理の例を示す図である。
【図４】本実施形態による組織変更が行われた場合におけるアクセス権管理装置のアクセス権付与処理の例を示す図である。
【図５】本実施形態による人事異動が行われた場合におけるアクセス権管理装置のアクセス権付与処理の例を示す図である。
【図６】本実施形態によるオブジェクトを所有する組織の変更が行われた場合におけるアクセス権管理装置のアクセス権付与処理の例を示す図である。
【図７】本実施形態によるアクセス権管理装置の動作例を示すフローチャートである。
【発明を実施するための形態】
【００１４】
以下、本発明の一実施形態（以下、「本実施形態」という）を図面に基づいて説明する。図１は、本実施形態によるアクセス権管理装置１００を含むアクセス権管理システム５０の全体構成例を示す図である。図１に示すように、本実施形態のアクセス権管理システム５０は、アクセス権管理装置１００、複数の情報端末１１０（例えば、ＰＣ、携帯端末など）を含み、これらが有線または無線の通信回線にて接続されている。
【００１５】
アクセス権管理装置１００は、一の情報端末１１０に保管されているオブジェクト（ファイルやフォルダ）に対する他の情報端末１１０からのアクセスを制御する装置である。ここで、アクセスとは、オブジェクトへの各種操作（例えば、読み込み、書き込み、実行など）を意味する。本実施形態では、アクセス権管理装置１００は、企業内の本社・部門・部・課といった組織形態に合わせ、各組織に所属するユーザや各組織の情報端末１１０に保管されているオブジェクトを階層構造で一元管理し、オブジェクトに対するユーザのアクセス権をユーザの集合体から成る組織毎に管理している。
【００１６】
アクセス権管理装置１００は、情報端末１１０を介して、ユーザから任意のオブジェクトに対するアクセスの要求を受け付けた際には、当該オブジェクトに対する当該ユーザが属する組織のアクセス権を確認する。そして、アクセス権管理装置１００は、アクセス要求を行ったユーザが所属する組織に対してオブジェクトへのアクセスが許可されている場合、当該組織に属するユーザに対して当該オブジェクトへのアクセス権を付与する。また、アクセス権管理装置１００は、アクセス要求を行ったユーザが所属する組織に対してオブジェクトへのアクセスが許可されていない場合、当該組織に属するユーザに対して当該オブジェクトへのアクセス権を付与しない。この場合、アクセス要求を行ったユーザは、オブジェクトに対してアクセスすることができない。
【００１７】
次に、アクセス権管理装置１００の具体的な機能構成例について説明する。図１に示すように、アクセス権管理装置１００は、組織情報記憶部１２０（本発明の階層構造情報記憶部に対応）、所有情報記憶部１４０、アクセス権情報記憶部１６０、アクセス要求受付部１８０、組織特定部２００（本発明の第１主体特定部に対応）およびアクセス権付与部２２０（本発明の第２主体特定部、位置特定部およびアクセス権付与部に対応）を備えて構成されている。
【００１８】
組織情報記憶部１２０は、複数の組織（本発明の主体に対応）からなる組織階層の構造および各組織に所属するユーザを示す組織情報（本発明の階層構造情報に対応）を記憶する。図２（ａ）は、組織情報の詳細を示す図である。図２（ａ）に示すように、組織情報は、本社・部門・部・課などの組織を示す「組織」、当該組織に所属するユーザを示す「所属ユーザ」および、当該組織の直属下位に位置する組織を示す「直属下位組織」を含む。組織情報には、これ以外の情報を含んでいても良いが、ここでは本発明に特に関係するもののみを示している。図２（ａ）の組織情報に示すように、組織１０にはユーザＡが所属しており、組織１０の直属下位には組織２０，２１が位置していることが第１レコードに設定されている。また、組織２１にはユーザＢが所属しており、組織２１の直属下位には組織３２，３３が位置していることが第２レコードに設定されている。
【００１９】
所有情報記憶部１４０は、アクセス対象のオブジェクトを所有する組織を示す所有情報を記憶する。図２（ｂ）は、所有情報の詳細を示す図である。図２（ｂ）に示すように、所有情報は、アクセス対象のオブジェクトを示す「オブジェクト」および、当該オブジェクトを所有する組織を示す「組織」を含む。所有情報には、これ以外の情報を含んでいても良いが、ここでは本発明に特に関係するもののみを示している。図２（ｂ）の所有情報に示すように、オブジェクトαは、組織３２に所有されていることが第１レコードに設定されている。また、オブジェクトβは、組織２０に所有されていることが第２レコードに設定されている。
【００２０】
アクセス権情報記憶部１６０は、上位、同位および下位という抽象的な概念により表した組織と、当該組織のオブジェクトへのアクセス権とを関連付けた情報であるアクセス権情報を記憶する。図２（ｃ）は、アクセス権情報の詳細を示す図である。図２（ｃ）に示すように、アクセス権情報は、オブジェクト毎に存在し、当該オブジェクトを所有する組織を基準にして上位、同位および下位という抽象的な概念により表した組織を示す「組織」、当該組織のオブジェクトへのアクセス（読み込み）の許否を示す「読み込み」、当該組織のオブジェクトへのアクセス（書き込み）の許否を示す「書き込み」および、当該組織のオブジェクトへのアクセス（実行）の許否を示す「実行」を含む。アクセス権情報には、これ以外の情報を含んでいても良いが、ここでは本発明に特に関係するもののみを示している。
【００２１】
なお、オブジェクトへのアクセス（読み込み）が許可されている場合、項目情報「読み込み」の値には「○（許可）」が設定される。その一方、オブジェクトへのアクセス（読み込み）が許可されていない場合、項目情報「読み込み」の値には「×（拒否）」が設定される。また、オブジェクトへのアクセス（書き込み）が許可されている場合、項目情報「書き込み」の値には「○（許可）」が設定される。その一方、オブジェクトへのアクセス（書き込み）が許可されていない場合、項目情報「書き込み」の値には「×（拒否）」が設定される。また、オブジェクトへのアクセス（実行）が許可されている場合、項目情報「実行」の値には「○（許可）」が設定される。その一方、オブジェクトへのアクセス（実行）が許可されていない場合、項目情報「実行」の値には「×（拒否）」が設定される。
【００２２】
図２（ｃ）のアクセス権情報に示すように、オブジェクトαを所有する組織を基準にして上位という抽象的な概念により表した組織に所属するユーザは、オブジェクトαへのアクセス（読み込み、書き込みおよび実行）が許可されていない。また、オブジェクトαを所有する組織を基準にして同位という抽象的な概念により表した組織に所属するユーザは、オブジェクトαへのアクセス（読み込み、書き込みおよび実行）が許可されている。また、オブジェクトαを所有する組織を基準にして下位という抽象的な概念により表した組織に所属するユーザは、オブジェクトαへのアクセス（読み込み、書き込みおよび実行）が許可されている。
【００２３】
アクセス要求受付部１８０は、情報端末１１０の操作部（図示せず）を介して、ユーザが行った任意のオブジェクトに対するアクセス（本実施形態では、読み込み、書き込みおよび実行の何れか）の要求を受け付ける。そして、アクセス要求受付部１８０は、アクセス要求されたオブジェクトを示すオブジェクト情報を組織特定部２００およびアクセス権付与部２２０に出力する。また、アクセス要求受付部１８０は、アクセスの要求を行ったユーザを示すユーザ情報および、アクセスの種別（本実施形態では、読み込み、書き込みおよび実行の何れか）を示すアクセス種別情報をアクセス権付与部２２０に出力する。本実施形態では、ユーザ情報は、あらかじめ情報端末１１０に設定されており、アクセス要求の際に情報端末１１０からアクセス要求受付部１８０に送信される。
【００２４】
組織特定部２００は、ユーザからアクセス要求のあったオブジェクトを所有している組織を所有情報に基づき特定する。具体的には、組織特定部２００は、アクセス要求受付部１８０から出力されたオブジェクト情報により示されるオブジェクトを所有している組織を、所有情報記憶部１４０に記憶されている所有情報に基づき特定する。
【００２５】
次に、組織特定部２００は、オブジェクトを所有している組織を基準にして上位、同位および下位に位置する具体的な組織を組織情報記憶部１２０に記憶されている組織情報に基づき特定する。そして、組織特定部２００は、特定した上位、同位および下位に位置する具体的な組織をそれぞれ示す上位・同位・下位組織情報をアクセス権付与部２２０に出力する。
【００２６】
具体的には、組織特定部２００は、組織情報記憶部１２０に記憶されている組織情報を参照し、オブジェクトを所有している組織が「直属下位組織」の値に設定されているレコードがあれば、その組織情報を抽出する。そして、組織特定部２００は、抽出したレコードに含まれる「組織」に設定されている組織（以下、直属上位組織という）を、オブジェクトを所有している組織を基準にして上位に位置する具体的な組織として特定する。
【００２７】
さらに、組織特定部２００は、組織情報記憶部１２０に記憶されている組織情報を参照し、直属上位組織が「直属下位組織」の値に設定されているレコードがあれば、そのレコードも抽出する。そして、組織特定部２００は、抽出したレコードに含まれる「組織」に設定されている組織も、オブジェクトを所有している組織を基準にして上位に位置する具体的な組織として特定する。以上のような処理を行うことによって、組織特定部２００は、組織情報記憶部１２０に記憶されている組織情報を参照し、オブジェクトを所有している組織を基準にして上位に位置する具体的な組織を特定することができる。
【００２８】
また、組織特定部２００は、所有情報記憶部１４０に記憶されている所有情報に基づき特定した組織をそのまま、オブジェクトを所有している組織を基準にして同位に位置する具体的な組織として特定する。
【００２９】
また、組織特定部２００は、組織情報記憶部１２０に記憶されている各組織情報を参照し、オブジェクトを所有している組織が「組織」の値に設定されているレコードがあれば、そのレコードを抽出する。そして、組織特定部２００は、抽出したレコードに含まれる「直属下位組織」に設定されている組織（以下、直属下位組織という）を、オブジェクトを所有している組織を基準にして下位に位置する具体的な組織として特定する。
【００３０】
さらに、組織特定部２００は、組織情報記憶部１２０に記憶されている組織情報を参照し、直属下位組織が「組織」の値に設定されているレコードがあれば、そのレコードも抽出する。そして、組織特定部２００は、抽出したレコードに含まれる「組織」に設定されている組織も、オブジェクトを所有している組織を基準にして下位に位置する具体的な組織として特定する。以上のような処理を行うことによって、組織特定部２００は、組織情報記憶部１２０に記憶されている組織情報を参照し、オブジェクトを所有している組織を基準にして下位に位置する具体的な組織をすべて特定することができる。
【００３１】
アクセス権付与部２２０は、アクセス要求を行ったユーザが属する組織を組織情報に基づき特定する。具体的には、アクセス権付与部２２０は、アクセス要求受付部１８０から出力されたユーザ情報により示されるユーザが属する組織を組織情報記憶部１２０に記憶されている組織情報に基づき特定する。
【００３２】
また、アクセス権付与部２２０は、アクセス権情報記憶部１６０に記憶されているアクセス権情報に基づいて、組織特定部２００から出力された上位・同位・下位組織情報により示される上位、同位および下位に位置する組織のうち、アクセス要求を行ったユーザが属する組織に所属するユーザに対して、アクセス要求のあったオブジェクトへのアクセス権を付与するように制御する。
【００３３】
具体的には、まず、アクセス権付与部２２０は、アクセス要求を行ったユーザが属する組織として特定した組織が組織特定部２００から出力された上位・同位・下位組織情報により示される上位、同位および下位に位置する具体的組織の何れかに該当するか否かについて判定する。
【００３４】
アクセス権付与部２２０は、アクセス要求を行ったユーザの属する組織が上位、同位および下位に位置する具体的な組織の何れにも該当しないと判定した場合、アクセス要求受付部１８０から出力されたユーザ情報により示されるユーザに対してアクセス要求受付部１８０から出力されたオブジェクト情報により示されるオブジェクトに対するアクセス権を付与する処理を行わない。
【００３５】
その一方、アクセス権付与部２２０は、アクセス要求を行ったユーザの属する組織が上位、同位および下位に位置する具体的な組織の何れかに該当すると判定した場合、アクセス権情報記憶部１６０に記憶されているアクセス権情報に基づいて、アクセス要求受付部１８０から出力されたオブジェクト情報により示されるオブジェクトについて、上位、同位および下位に位置する具体的な組織の何れかに該当すると判定した組織に所属するユーザが、アクセス要求受付部１８０から出力されたアクセス種別情報により示されるアクセス（読み込み、書き込みおよび実行のいずれか）を許可されているか否かについて判定する。
【００３６】
アクセス権付与部２２０は、アクセスが許可されていると判定した場合、アクセス要求受付部１８０から出力されたユーザ情報により示されるユーザに対してアクセス要求受付部１８０から出力されたオブジェクト情報により示されるオブジェクトに対するアクセス権を付与する処理を行う。その一方、アクセス権付与部２２０は、アクセスが許可されていないと判定した場合、アクセス要求受付部１８０から出力されたユーザ情報により示されるユーザに対してアクセス要求受付部１８０から出力されたオブジェクト情報により示されるオブジェクトに対するアクセス権を付与する処理を行わない。
【００３７】
以上に説明した本実施形態によるアクセス権管理装置１００の機能は、実際にはコンピュータのＣＰＵあるいはＭＰＵ、ＲＡＭ、ＲＯＭなどで構成され、ＲＡＭやＲＯＭに記憶されたプログラムが動作することによって実現できる。したがって、コンピュータが上記の機能を果たすように動作させるプログラムを例えばＣＤ−ＲＯＭのような記録媒体に記録し、コンピュータに読み込ませることによって実現できるものである。
【００３８】
上記プログラムを記録する記録媒体としては、ＣＤ−ＲＯＭ以外に、フレキシブルディスク、ハードディスク、磁気テープ、光ディスク、光磁気ディスク、ＤＶＤ、不揮発性メモリカード等を用いることができる。また、上記プログラムをインターネット等のネットワークを介してコンピュータにダウンロードすることによっても実現できる。
【００３９】
また、コンピュータが供給されたプログラムを実行することにより上述の実施形態の機能が実現されるだけでなく、そのプログラムがコンピュータにおいて稼働しているＯＳ（オペレーティングシステム）あるいは他のアプリケーションソフト等と共同して上述の実施形態の機能が実現される場合や、供給されたプログラムの処理の全てあるいは一部がコンピュータの機能拡張ボードや機能拡張ユニットにより行われて上述の実施形態の機能が実現される場合も、かかるプログラムは本実施形態に含まれる。
【００４０】
次に、アクセス権管理装置１００によるアクセス権付与処理について例を挙げて説明する。図３は、アクセス権管理装置１００によるアクセス権付与処理の例を示す図である。図３（ａ）は、複数の組織１０，２０，２１，３２，３３，４１，４２からなる組織階層の構造を示している。図３（ａ）に示すように、組織１０の直属下位には組織２０，２１が位置している。組織２１の直属下位には組織３２，３３が位置している。組織３２の直属下位には組織４１，４２が位置している。なお、図３（ａ）の例では、組織２０，３３，４１，４２の直属下位に位置する組織は存在しない。
【００４１】
図３（ｂ）は、組織情報記憶部１２０に記憶されている組織情報のうち組織２１，３２，４２，２０に関する組織情報を示している。図３（ｂ）の組織情報に示すように、組織２１，３２，４２，２０には、ユーザＡ，Ｂ，Ｃ，Ｄがそれぞれ所属する。
【００４２】
図３（ｃ）は、オブジェクトαについて、上位、同位および下位という抽象的な概念により表した組織と、当該組織に所属するユーザのオブジェクトαへのアクセス権とを関連付けたアクセス権情報の内容を示している。図３（ｄ）は、アクセス対象のオブジェクトαを所有する組織３２を示す所有情報の内容を示している。
【００４３】
まず、アクセス要求受付部１８０が、組織２１に所属するユーザＡからオブジェクトαに対するアクセス（読み込み）の要求を受け付けた場合について説明する。この場合、組織特定部２００は、ユーザＡからアクセス要求のあったオブジェクトαを所有している組織３２を図３（ｄ）に示す所有情報に基づき特定する。そして、組織特定部２００は、オブジェクトαを所有している組織３２を基準にして上位に位置する組織１０，２１、同位に位置する組織３２、下位に位置する組織４１，４２を図３（ｂ）に示す組織情報に基づき特定する。
【００４４】
次に、アクセス権付与部２２０は、アクセス要求を行ったユーザＡが属する組織２１を図３（ｂ）に示す組織情報に基づき特定する。次に、アクセス権付与部２２０は、特定した組織２１が組織特定部２００により特定された上位、同位および下位に位置する組織１０，２１，３２，４１，４２の何れかに該当するか否かについて判定する。図３の例では、アクセス権付与部２２０は、アクセス要求を行ったユーザＡが属する組織２１が、オブジェクトαを所有している組織３２を基準にして上位に位置する組織に該当すると判定する。
【００４５】
この場合、アクセス権付与部２２０は、図３（ｃ）に示すアクセス権情報に基づいて、オブジェクトαについて、上位に位置する組織２１に所属するユーザがアクセス（読み込み）を許可されているか否かについて判定する。図３の例では、アクセス権付与部２２０は、アクセスが許可されていない（項目「読み込み」の値に「×」が設定されている）と判定し、ユーザＡに対してオブジェクトαへのアクセス権を付与する処理を行わない。
【００４６】
次に、アクセス要求受付部１８０が、組織３２に所属するユーザＢからオブジェクトαに対するアクセス（書き込み）の要求を受け付けた場合について説明する。この場合、組織特定部２００は、ユーザＢからアクセス要求のあったオブジェクトαを所有している組織３２を図３（ｄ）に示す所有情報に基づき特定する。そして、組織特定部２００は、オブジェクトαを所有している組織３２を基準にして上位に位置する組織１０，２１、同位に位置する組織３２、下位に位置する組織４１，４２を図３（ｂ）に示す組織情報に基づき特定する。
【００４７】
次に、アクセス権付与部２２０は、アクセス要求を行ったユーザＢが属する組織３２を図３（ｂ）に示す組織情報に基づき特定する。次に、アクセス権付与部２２０は、特定した組織３２が組織特定部２００により特定された上位、同位および下位に位置する組織１０，２１，３２，４１，４２の何れかに該当するか否かについて判定する。図３の例では、アクセス権付与部２２０は、アクセス要求を行ったユーザＢが属する組織３２が、オブジェクトαを所有している組織３２を基準にして同位に位置する組織に該当すると判定する。この場合、アクセス権付与部２２０は、図３（ｃ）に示すアクセス権情報に基づいて、オブジェクトαについて、同位に位置する組織３２に所属するユーザがアクセス（書き込み）を許可されているか否かについて判定する。図３の例では、アクセス権付与部２２０は、アクセスが許可されている（項目「書き込み」の値に「○」が設定されている）と判定し、ユーザＢに対してオブジェクトαに対する書き込みに関するアクセス権を付与する処理を行う。
【００４８】
次に、アクセス要求受付部１８０が、組織４２に所属するユーザＣからオブジェクトαに対するアクセス（実行）の要求を受け付けた場合について説明する。この場合、組織特定部２００は、ユーザＣからアクセス要求のあったオブジェクトαを所有している組織３２を図３（ｄ）に示す所有情報に基づき特定する。そして、組織特定部２００は、オブジェクトαを所有している組織３２を基準にして上位に位置する組織１０，２１、同位に位置する組織３２、下位に位置する組織４１，４２を図３（ｂ）に示す組織情報に基づき特定する。
【００４９】
次に、アクセス権付与部２２０は、アクセス要求を行ったユーザＣが属する組織４２を図３（ｂ）に示す組織情報に基づき特定する。次に、アクセス権付与部２２０は、特定した組織４２が組織特定部２００により特定された上位、同位および下位に位置する組織１０，２１，３２，４１，４２の何れかに該当するか否かについて判定する。図３の例では、アクセス権付与部２２０は、アクセス要求を行ったユーザＣの属する組織４２が、オブジェクトαを所有している組織３２を基準にして下位に位置する組織に該当すると判定する。この場合、アクセス権付与部２２０は、図３（ｃ）に示すアクセス権情報に基づいて、オブジェクトαについて、下位に位置する組織４２に所属するユーザがアクセス（実行）を許可されているか否かについて判定する。図３の例では、アクセス権付与部２２０は、アクセスが許可されている（項目「実行」の値に「○」が設定されている）と判定し、ユーザＣに対してオブジェクトαに対する実行に関するアクセス権を付与する処理を行う。
【００５０】
最後に、アクセス要求受付部１８０が、組織２０に所属するユーザＤからオブジェクトαに対するアクセス（読み込み）の要求を受け付けた場合について説明する。この場合、組織特定部２００は、ユーザＤからアクセス要求のあったオブジェクトαを所有している組織３２を図３（ｄ）に示す所有情報に基づき特定する。そして、組織特定部２００は、オブジェクトαを所有している組織３２を基準にして上位に位置する組織１０，２１、同位に位置する組織３２、下位に位置する組織４１，４２を図３（ｂ）に示す組織情報に基づき特定する。
【００５１】
次に、アクセス権付与部２２０は、アクセス要求を行ったユーザＤが属する組織２０を図３（ｂ）に示す組織情報に基づき特定する。次に、アクセス権付与部２２０は、特定した組織２０が組織特定部２００により特定された上位、同位および下位に位置する組織１０，２１，３２，４１，４２の何れかに該当するか否かについて判定する。図３の例では、アクセス権付与部２２０は、アクセス要求を行ったユーザＤが属する組織２１が、オブジェクトαを所有している組織３２を基準にして上位、同位および下位に位置する組織の何れにも該当しないと判定する。この場合、アクセス権付与部２２０は、ユーザＤに対して、オブジェクトαに対するアクセス権を付与する処理を行わない。
【００５２】
図３を参照しながら説明したように、組織情報、所有情報およびアクセス権情報を定義しておくだけで、オブジェクトαを所有する組織３２を基準にして上位、同位および下位に位置する組織２１，３２，４２に所属するユーザＡ，Ｂ，Ｃに関する当該オブジェクトへのアクセス権が制御される。したがって、ディレクトリサービスを使用せずに、組織全体のアクセス権の管理を容易に行うことができる。
【００５３】
次に、組織階層の一部に組織変更が行われた場合におけるアクセス権管理装置１００によるアクセス権付与処理について例を挙げて説明する。図４は、組織階層の一部に組織変更が行われた場合におけるアクセス権管理装置１００によるアクセス権付与処理の例を示す図である。
【００５４】
図４（ａ）は、複数の組織１０，２０，２１，３２，３３，４１，４２からなる組織階層の構造を示している。図４（ａ）に示すように、組織１０の直属下位には組織２０，２１が位置している。組織２１の直属下位には組織３２，３３が位置している。組織３２の直属下位には組織４１，４２が位置している。なお、図４（ａ）に示す組織階層の構造は、組織変更前の状態を示しており、組織２０，３３，４１，４２の直属下位に位置する組織は存在しない。
【００５５】
図４（ｂ）は、組織情報記憶部１２０に記憶されている組織情報のうち組織２１，３２，４２，２０に関するレコードを示している。図４（ｂ）の組織情報に示すように、組織２１，３２，４２，２０には、ユーザＡ，Ｂ，Ｃ，Ｄがそれぞれ所属する。
【００５６】
図４（ｃ）は、オブジェクトαについて、上位、同位および下位という抽象的な概念により表した組織と、当該組織に所属するユーザのオブジェクトαへのアクセス権とを関連付けた情報であるアクセス権情報の内容を示している。図４（ｄ）は、アクセス対象のオブジェクトαを所有する組織３２を示す所有情報の内容を示している。なお、図４（ａ）〜（ｄ）に示す各情報は図３（ａ）〜（ｄ）に示す各情報と同じであるため、アクセス権管理装置１００によるアクセス権付与処理は図３を参照しながら説明した処理と同じである。
【００５７】
図４（ｅ）は、組織階層の一部に組織変更があった場合、複数の組織１０，２０，２１，３２，３３，４１，４２からなる組織階層の構造を示している。図４（ｅ）に示すように、組織１０の直属下位には組織２０，２１が位置している。組織２０の直属下位には組織３２が位置している。組織２１の直属下位には組織３３が位置している。組織３２の直属下位には、組織４１，４２が位置している。すなわち、組織変更によって、直属下位に組織４１，４２が位置している組織３２は、組織２１の直属下位の位置から組織２０の直属下位の位置に移動している。
【００５８】
図４（ｆ）は、組織情報記憶部１２０に記憶されている組織情報のうち組織２１，３２，４２，２０に関する組織情報を示している。図４（ｆ）に示すように、組織２１，３２，４２，２０には、ユーザＡ，Ｂ，Ｃ，Ｄがそれぞれ所属する。なお、組織変更によって、組織２１に関する組織情報の「直属下位組織」の値は、「組織３２，３３」から「組織３３」に設定変更されている。また、組織変更によって、組織２０に関する組織情報の「直属下位組織」の値は、「−（直属下位に位置する組織はない）」から「組織３２」に設定変更されている。また、図４（ｇ）は、図４（ｃ）に示すアクセス権情報と同じ情報である。図４（ｈ）は、図４（ｄ）に示す所有情報と同じ情報である。
【００５９】
まず、アクセス要求受付部１８０が、組織２１に所属するユーザＡからオブジェクトαに対するアクセス（読み込み）の要求を受け付けた場合について説明する。この場合、組織特定部２００は、ユーザＡからアクセス要求のあったオブジェクトαを所有している組織３２を図４（ｈ）に示す所有情報に基づき特定する。そして、組織特定部２００は、オブジェクトαを所有している組織３２を基準にして上位に位置する組織１０，２０、同位に位置する組織３２、下位に位置する組織４１，４２を図４（ｆ）に示す組織情報に基づき特定する。
【００６０】
次に、アクセス権付与部２２０は、アクセス要求を行ったユーザＡが属する組織２１を図４（ｆ）に示す組織情報に基づき特定する。次に、アクセス権付与部２２０は、特定した組織２１が組織特定部２００により特定された上位、同位および下位に位置する組織１０，２０，３２，４１，４２の何れかに該当するか否かについて判定する。図４の例では、アクセス権付与部２２０は、アクセス要求を行ったユーザＡの属する組織２１が、オブジェクトαを所有している組織３２を基準にして上位、同位および下位に位置する組織の何れにも該当しないと判定する。この場合、アクセス権付与部２２０は、ユーザＡに対してオブジェクトαに対するアクセス権を付与する処理を行わない。
【００６１】
次に、アクセス要求受付部１８０が、組織３２に所属するユーザＢからオブジェクトαに対するアクセス（書き込み）の要求を受け付けた場合について説明する。この場合、組織特定部２００は、ユーザＢからアクセス要求のあったオブジェクトαを所有している組織３２を図４（ｈ）に示す所有情報に基づき特定する。そして、組織特定部２００は、オブジェクトαを所有している組織３２を基準にして上位に位置する組織１０，２０、同位に位置する組織３２、下位に位置する組織４１，４２を図４（ｆ）に示す組織情報に基づき特定する。
【００６２】
次に、アクセス権付与部２２０は、アクセス要求を行ったユーザＢが属する組織３２を図４（ｆ）に示す組織情報に基づき特定する。次に、アクセス権付与部２２０は、特定した組織３２が組織特定部２００により特定された上位、同位および下位に位置する組織１０，２０，３２，４１，４２の何れかに該当するか否かについて判定する。図４の例では、アクセス権付与部２２０は、アクセス要求を行ったユーザＢが属する組織３２が、オブジェクトαを所有している組織３２を基準にして同位に位置する組織に該当すると判定する。この場合、アクセス権付与部２２０は、図４（ｇ）に示すアクセス権情報に基づいて、オブジェクトαについて、同位に位置する組織３２に所属するユーザがアクセス（書き込み）を許可されているか否かについて判定する。図４の例では、アクセス権付与部２２０は、アクセスが許可されている（項目「書き込み」の値に「○」が設定されている）と判定し、ユーザＢに対してオブジェクトαに対する書き込みに関するアクセス権を付与する処理を行う。
【００６３】
次に、アクセス要求受付部１８０が、組織４２に所属するユーザＣからオブジェクトαに対するアクセス（実行）の要求を受け付けた場合について説明する。この場合、組織特定部２００は、ユーザＣからアクセス要求のあったオブジェクトαを所有している組織３２を図４（ｈ）に示す所有情報に基づき特定する。そして、組織特定部２００は、オブジェクトαを所有している組織３２を基準にして上位に位置する組織１０，２０、同位に位置する組織３２、下位に位置する組織４１，４２を図４（ｆ）に示す組織情報に基づき特定する。
【００６４】
次に、アクセス権付与部２２０は、アクセス要求を行ったユーザＣが属する組織４２を図４（ｆ）に示す組織情報に基づき特定する。次に、アクセス権付与部２２０は、特定した組織４２が組織特定部２００により特定された上位、同位および下位に位置する組織１０，２０，３２，４１，４２の何れかに該当するか否かについて判定する。図４の例では、アクセス権付与部２２０は、アクセス要求を行ったユーザＣが属する組織４２が、オブジェクトαを所有している組織３２を基準にして下位に位置する組織に該当すると判定する。この場合、アクセス権付与部２２０は、図４（ｇ）に示すアクセス権情報に基づいて、オブジェクトαについて、下位に位置する組織４２に所属するユーザがアクセス（実行）を許可されているか否かについて判定する。図４の例では、アクセス権付与部２２０は、アクセスが許可されている（項目「実行」の値に「○」が設定されている）と判定し、ユーザＣに対してオブジェクトαに対する実行に関するアクセス権を付与する処理を行う。
【００６５】
最後に、アクセス要求受付部１８０が、組織２０に所属するユーザＤからオブジェクトαに対するアクセス（読み込み）の要求を受け付けた場合について説明する。この場合、組織特定部２００は、ユーザＤからアクセス要求のあったオブジェクトαを所有している組織３２を図４（ｈ）に示す所有情報に基づき特定する。そして、組織特定部２００は、オブジェクトαを所有している組織３２を基準にして上位に位置する組織１０，２０、同位に位置する組織３２、下位に位置する組織４１，４２を図４（ｆ）に示す組織情報に基づき特定する。
【００６６】
次に、アクセス権付与部２２０は、アクセス要求を行ったユーザＤが属する組織２０を図４（ｆ）に示す組織情報に基づき特定する。次に、アクセス権付与部２２０は、特定した組織２０が組織特定部２００により特定された上位、同位および下位に位置する組織１０，２０，３２，４１，４２の何れかに該当するか否かについて判定する。図４の例では、アクセス権付与部２２０は、アクセス要求を行ったユーザＤが属する組織２０が、オブジェクトαを所有している組織３２を基準にして上位に位置する組織に該当すると判定する。この場合、アクセス権付与部２２０は、図４（ｇ）に示すアクセス権情報に基づいて、オブジェクトαについて、上位に位置する組織２０に所属するユーザがアクセス（読み込み）を許可されているか否かについて判定する。図４の例では、アクセス権付与部２２０は、アクセスが許可されていない（項目「読み込み」の値に「×」が設定されている）と判定し、ユーザＤに対してオブジェクトαに対するアクセス権を付与する処理を行わない。
【００６７】
図４を参照しながら説明したように、組織変更でオブジェクトαを所有する組織３２の上位に位置する組織に変更があった場合でも、管理者が組織情報を変更するという簡単な処理を行うだけで、組織変更後のオブジェクトαを所有する組織３２の上位に位置する組織２０や下位に位置する組織４２に所属するユーザＣ，Ｄに関するオブジェクトαへのアクセス権が自動的に制御される。したがって、組織変更があっても、組織全体のアクセス権の管理を容易に行うことができる。
【００６８】
次に、人事異動が行われた場合におけるアクセス権管理装置１００によるアクセス権付与処理について例を挙げて説明する。図５は、人事異動が行われた場合におけるアクセス権管理装置１００によるアクセス権付与処理の例を示す図である。
【００６９】
図５（ａ）は、複数の組織１０，２０，２１，３２，３３，４１，４２からなる組織階層の構造を示している。図５（ａ）に示すように、組織１０の直属下位には組織２０，２１が位置している。組織２１の直属下位には組織３２，３３が位置している。組織３２の直属下位には組織４１，４２が位置している。なお、図５（ａ）に示す組織階層の構造では、組織２０，３３，４１，４２の直属下位に位置する組織は存在しない。
【００７０】
図５（ｂ）は、組織情報記憶部１２０に記憶されている組織情報のうち組織２１，３２，４２，２０に所属するユーザを示す組織情報を示している。図５（ｂ）の組織情報に示すように、組織２１，３２，４２，２０には、ユーザＡ，Ｂ，Ｃ，Ｄがそれぞれ所属している。
【００７１】
図５（ｃ）は、オブジェクトαについて、上位、同位および下位という抽象的な概念により表した組織と、当該組織に所属するユーザのオブジェクトαへのアクセス権とを関連付けた情報であるアクセス権情報の内容を示している。図５（ｄ）は、アクセス対象のオブジェクトαを所有する組織３２を示す所有情報の内容を示している。なお、図５（ａ）〜（ｄ）に示す各情報は図３（ａ）〜（ｄ）に示す各情報と同じであるため、アクセス権管理装置１００によるアクセス権付与処理は図３を参照しながら説明した処理と同じである。
【００７２】
図５（ｅ）は、人事異動が行われた場合、複数の組織１０，２０，２１，３２，３３，４１，４２からなる組織階層の構造を示している。図５（ｅ）に示すように、組織１０の直属下位には組織２０，２１が位置している。組織２１の直属下位には組織３２，３３が位置している。組織３２の直属下位には組織４１，４２が位置している。
【００７３】
図５（ｆ）は、組織情報記憶部１２０に記憶されている組織情報のうち組織２１，３２，４２，２０に関する組織情報を示している。図５（ｆ）に示すように、組織２１には、ユーザＡに加えて、人事異動（例えば、昇格）によりユーザＢが新たに所属する。すなわち、組織２１に関する組織情報の「所属ユーザ」の値は、「ユーザＡ」から「ユーザＡ，Ｂ」に設定変更されている。組織３２には、人事異動により所属するユーザがいなくなっている。すなわち、組織３２に関する組織情報の「所属ユーザ」の値は、「ユーザＢ」から「−（所属するユーザはなし）」に設定変更されている。
【００７４】
組織２０には、ユーザＤが所属する。組織４２には、ユーザＣに加えて、人事変更（例えば、転職）によりユーザＥが新たに所属する。すなわち、組織４２に関する組織情報の「所属ユーザ」の値は、「ユーザＣ」から「ユーザＣ，Ｅ」に設定変更されている。図５（ｇ）は、図５（ｃ）に示すアクセス権情報と同じ情報である。図５（ｈ）は、図５（ｄ）に示す所有情報と同じ情報である。
【００７５】
まず、アクセス要求受付部１８０が、組織２１に新たに所属することとなったユーザＢからオブジェクトαに対するアクセス（読み込み）の要求を受け付けた場合について説明する。この場合、組織特定部２００は、ユーザＢからアクセス要求のあったオブジェクトαを所有している組織３２を図５（ｈ）に示す所有情報に基づき特定する。そして、組織特定部２００は、オブジェクトαを所有している組織３２を基準にして上位に位置する組織１０，２１、同位に位置する組織３２、下位に位置する組織４１，４２を図５（ｆ）に示す組織情報に基づき特定する。
【００７６】
次に、アクセス権付与部２２０は、アクセス要求を行ったユーザＢが属する組織２１を図５（ｆ）に示す組織情報に基づき特定する。次に、アクセス権付与部２２０は、特定した組織２１が組織特定部２００により特定された上位、同位および下位に位置する組織１０，２１，３２，４１，４２の何れかに該当するか否かについて判定する。図５の例では、アクセス権付与部２２０は、アクセス要求を行ったユーザＢが属する組織２１が、オブジェクトαを所有している組織３２を基準にして上位に位置する組織に該当すると判定する。この場合、アクセス権付与部２２０は、図５（ｇ）に示すアクセス権情報に基づいて、オブジェクトαについて、上位に位置する組織２１に所属するユーザがアクセス（読み込み）を許可されているか否かについて判定する。図５の例では、アクセス権付与部２２０は、アクセスが許可されていない（項目「読み込み」の値に「×」が設定されている）と判定し、ユーザＢに対してオブジェクトαに対するアクセス権を付与する処理を行わない。
【００７７】
次に、アクセス要求受付部１８０が、組織４２に新たに所属することとなったユーザＥからオブジェクトαに対するアクセス（実行）の要求を受け付けた場合について説明する。この場合、組織特定部２００は、ユーザＥからアクセス要求のあったオブジェクトαを所有している組織３２を図５（ｈ）に示す所有情報に基づき特定する。そして、組織特定部２００は、オブジェクトαを所有している組織３２を基準にして上位に位置する組織１０，２１、同位に位置する組織３２、下位に位置する組織４１，４２を組織情報記憶部１２０に記憶されている組織情報に基づき特定する。
【００７８】
次に、アクセス権付与部２２０は、アクセス要求を行ったユーザＥが属する組織２０を図５（ｆ）に示す組織情報に基づき特定する。次に、アクセス権付与部２２０は、特定した組織２０が組織特定部２００により特定された上位、同位および下位に位置する組織１０，２１，３２，４１，４２の何れかに該当するか否かについて判定する。図５の例では、アクセス権付与部２２０は、アクセス要求を行ったユーザＥが属する組織４２が、オブジェクトαを所有している組織３２を基準にして下位に位置する組織に該当すると判定する。この場合、アクセス権付与部２２０は、図５（ｇ）に示すアクセス権情報に基づいて、オブジェクトαについて、下位に位置する組織４２に所属するユーザがアクセス（実行）を許可されているか否かについて判定する。図５の例では、アクセス権付与部２２０は、アクセスが許可されている（項目「書き込み」の値に「○」が設定されている）と判定し、ユーザＥに対してオブジェクトαに対する実行に関するアクセス権を付与する処理を行う。
【００７９】
図５を参照しながら説明したように、人事異動により、オブジェクトαを所有している組織３２を基準にして同位に位置する組織３２から上位に位置する組織２１にユーザＢが移動したり、下位に位置する組織４２にユーザＥの追加が行われた場合でも、管理者が組織情報を変更するという簡単な処理を行うだけで、人事異動後に異動対象のユーザＢ，Ｅに関するオブジェクトαへのアクセス権が自動的に制御される。したがって、人事異動があっても、組織全体のアクセス権の管理を容易に行うことができる。
【００８０】
次に、オブジェクトを所有している組織の変更が行われた場合におけるアクセス権管理装置１００によるアクセス権付与処理について例を挙げて説明する。図６は、オブジェクトを所有している組織の変更が行われた場合におけるアクセス権管理装置１００によるアクセス権付与処理の例を示す図である。
【００８１】
図６（ａ）は、複数の組織１０，２０，２１，３２，３３，４１，４２からなる組織階層の構造を示している。図６（ａ）に示すように、組織１０の直属下位には組織２０，２１が位置している。組織２１の直属下位には組織３２，３３が位置している。組織３２の直属下位には組織４１，４２が位置している。なお、図６（ａ）に示す組織階層の構造では、組織２０，３３，４１，４２の直属下位に位置する組織は存在しない。
【００８２】
図６（ｂ）は、組織情報記憶部１２０に記憶されている組織情報のうち組織２１，３２，４２，２０に所属するユーザを示す組織情報を示している。図６（ｂ）の組織情報に示すように、組織２１，３２，４２，２０には、ユーザＡ，Ｂ，Ｃ，Ｄがそれぞれ所属している。
【００８３】
図６（ｃ）は、オブジェクトαについて、上位、同位および下位という抽象的な概念により表した組織と、当該組織に所属するユーザのオブジェクトαへのアクセス権とを関連付けた情報であるアクセス権情報の内容を示している。図６（ｄ）は、アクセス対象のオブジェクトαを所有する組織３２を示す所有情報の内容を示している。なお、図６（ａ）〜（ｄ）に示す各情報は図３（ａ）〜（ｄ）に示す各情報と同じであるため、アクセス権管理装置１００によるアクセス権付与処理は図３を参照しながら説明した処理と同じである。
【００８４】
図６（ｅ）は、オブジェクトを所有している組織の変更が行われた場合、複数の組織１０，２０，２１，３２，３３，４１，４２からなる組織階層の構造を示している。図６（ｅ）に示すように、組織１０の直属下位には組織２０，２１が位置している。組織２１の直属下位には組織３２，３３が位置している。組織３２の直属下位には組織４１，４２が位置している。
【００８５】
図６（ｆ）は、図６（ｂ）に示す組織情報と同じ情報である。図６（ｇ）は、図６（ｃ）に示すアクセス権情報と同じ情報である。図６（ｈ）は、アクセス対象のオブジェクトαを所有する組織３２を示す所有情報の内容を示している。図６（ｈ）に示すように、オブジェクトを所有している組織の変更によって、オブジェクトαに関する所有情報の「組織」の値は、「組織３２」から「組織２０」に設定変更されている。
【００８６】
まず、アクセス要求受付部１８０が、組織２１に所属するユーザＡからオブジェクトαに対するアクセス（読み込み）の要求を受け付けた場合について説明する。この場合、組織特定部２００は、ユーザＡからアクセス要求のあったオブジェクトαを所有している組織２０を図６（ｈ）に示す所有情報に基づき特定する。そして、組織特定部２００は、オブジェクトαを所有している組織２０を基準にして上位に位置する組織１０および同位に位置する組織２０（下位に位置する組織はなし）を図６（ｆ）に示す組織情報に基づき特定する。
【００８７】
次に、アクセス権付与部２２０は、アクセス要求を行ったユーザＡが属する組織２１を図６（ｆ）に示す組織情報に基づき特定する。次に、アクセス権付与部２２０は、特定した組織２１が組織特定部２００により特定された上位および同位に位置する組織１０，２０の何れかに該当するか否かについて判定する。図６の例では、アクセス権付与部２２０は、アクセス要求を行ったユーザＡが属する組織２１が、オブジェクトαを所有している組織２０を基準にして上位および同位に位置する組織１０，２０の何れにも該当しないと判定する。この場合、アクセス権付与部２２０は、ユーザＡに対して、オブジェクトαに対するアクセス権を付与する処理を行わない。
【００８８】
次に、アクセス要求受付部１８０が、組織３２に所属するユーザＢからオブジェクトαに対するアクセス（書き込み）の要求を受け付けた場合について説明する。この場合、組織特定部２００は、ユーザＢからアクセス要求のあったオブジェクトαを所有している組織２０を図６（ｈ）に示す所有情報に基づき特定する。そして、組織特定部２００は、オブジェクトαを所有している組織２０を基準にして上位に位置する組織１０および同位に位置する組織２０（下位に位置する組織はなし）を図６（ｆ）に示す組織情報に基づき特定する。
【００８９】
次に、アクセス権付与部２２０は、アクセス要求を行ったユーザＢが属する組織３２を図６（ｆ）に示す組織情報に基づき特定する。次に、アクセス権付与部２２０は、特定した組織３２が組織特定部２００により特定された上位および同位に位置する組織１０，２０の何れかに該当するか否かについて判定する。図６の例では、アクセス権付与部２２０は、アクセス要求を行ったユーザＢが属する組織３２が、オブジェクトαを所有している組織２０を基準にして上位および同位に位置する組織１０，２０の何れにも該当しないと判定する。この場合、アクセス権付与部２２０は、ユーザＢに対してオブジェクトαに対するアクセス権を付与する処理を行わない。
【００９０】
次に、アクセス要求受付部１８０が、組織４２に所属するユーザＣからオブジェクトαに対するアクセス（実行）の要求を受け付けた場合について説明する。この場合、組織特定部２００は、ユーザＣからアクセス要求のあったオブジェクトαを所有している組織２０を図６（ｈ）に示す所有情報に基づき特定する。そして、組織特定部２００は、オブジェクトαを所有している組織２０を基準にして上位に位置する組織１０および同位に位置する組織２０（下位に位置する組織はなし）を図６（ｆ）に示す組織情報に基づき特定する。
【００９１】
次に、アクセス権付与部２２０は、アクセス要求を行ったユーザＣが属する組織４２を図６（ｆ）に示す組織情報に基づき特定する。次に、アクセス権付与部２２０は、特定した組織４２が組織特定部２００により特定された上位および同位に位置する組織１０，２０の何れかに該当するか否かについて判定する。図６の例では、アクセス権付与部２２０は、アクセス要求を行ったユーザＣが属する組織４２が、オブジェクトαを所有している組織２０を基準にして上位および同位に位置する組織１０，２０の何れにも該当しないと判定する。この場合、アクセス権付与部２２０は、ユーザＣに対してオブジェクトαに対するアクセス権を付与する処理を行わない。
【００９２】
最後に、アクセス要求受付部１８０が、組織２０に所属するユーザＤからオブジェクトαに対するアクセス（読み込み）の要求を受け付けた場合について説明する。この場合、組織特定部２００は、ユーザＤからアクセス要求のあったオブジェクトαを所有している組織２０を図６（ｈ）に示す所有情報に基づき特定する。そして、組織特定部２００は、オブジェクトαを所有している組織２０を基準にして上位に位置する組織１０および同位に位置する組織２０（下位に位置する組織はなし）を図６（ｆ）に示す組織情報に基づき特定する。
【００９３】
次に、アクセス権付与部２２０は、アクセス要求を行ったユーザＤが属する組織２０を図６（ｆ）に示す組織情報に基づき特定する。次に、アクセス権付与部２２０は、特定した組織２０が組織特定部２００により特定された上位および同位に位置する組織１０，２０の何れかに該当するか否かについて判定する。図６の例では、アクセス権付与部２２０は、アクセス要求を行ったユーザＤが属する組織２０が、オブジェクトαを所有している組織２０を基準にして同位に位置する組織に該当すると判定する。この場合、アクセス権付与部２２０は、図６（ｇ）に示すアクセス権情報に基づいて、オブジェクトαについて、同位に位置する組織２０に所属するユーザがアクセス（読み込み）を許可されているか否かについて判定する。図６の例では、アクセス権付与部２２０は、アクセスが許可されている（項目「読み込み」の値に「○」が設定されている）と判定し、ユーザＤに対して、オブジェクトαに対する書き込みに関するアクセス権を付与する処理を行う。
【００９４】
図６を参照しながら説明したように、オブジェクトαを所有している組織の変更によって、オブジェクトαを所有する組織の上位、同位および下位に位置する組織に変更があった場合でも、管理者が組織情報を変更するという簡単な処理を行うだけで、オブジェクトαを所有している組織の変更後の上位、同位および下位に位置する組織に所属するユーザに関するオブジェクトαへのアクセス権が自動的に制御される。したがって、オブジェクトを所有している組織の変更があっても、組織全体のアクセス権の管理を容易に行うことができる。
【００９５】
次に、本実施形態によるアクセス権管理装置１００のアクセス権付与に関する動作について説明する。図７は、本実施形態によるアクセス権管理装置１００のアクセス権付与に関する動作例を示すフローチャートである。まず、アクセス要求受付部１８０は、情報端末１１０の操作部（図示せず）を介して、ユーザが行った任意のオブジェクトに対するアクセス（本実施形態では、読み込み、書き込みおよび実行の何れか）の要求を受け付けたか否かについて判定する（ステップＳ１００）。
【００９６】
もし、アクセスの要求を受け付けていないとアクセス要求受付部１８０にて判定した場合（ステップＳ１００にてＮＯ）、処理はステップＳ２４０に遷移する。一方、アクセスの要求を受け付けたとアクセス要求受付部１８０にて判定した場合（ステップＳ１００にてＹＥＳ）、アクセス要求受付部１８０は、アクセス要求されたオブジェクトを示すオブジェクト情報を組織特定部２００およびアクセス権付与部２２０に出力する。また、アクセス要求受付部１８０は、アクセスの要求を行ったユーザを示すユーザ情報および、当該アクセスの種別（本実施形態では、読み込み、書き込みおよび実行の何れか）を示すアクセス種別情報をアクセス権付与部２２０に出力する。
【００９７】
次に、組織特定部２００は、アクセス要求受付部１８０から出力されたオブジェクト情報により示されるオブジェクトを所有している組織を所有情報記憶部１４０に記憶されている所有情報に基づき特定する（ステップＳ１２０）。次に、組織特定部２００は、特定した組織を基準にして上位、同位および下位に位置する具体的な組織を組織情報記憶部１２０に記憶されている組織情報に基づき特定する（ステップＳ１４０）。そして、組織特定部２００は、特定した上位、同位および下位に位置する具体的な組織をそれぞれ示す上位・同位・下位組織情報をアクセス権付与部２２０に出力する。
【００９８】
次に、アクセス権付与部２２０は、アクセス要求受付部１８０から出力されたユーザ情報により示されるユーザが属する組織を組織情報記憶部１２０に記憶されている組織情報に基づき特定する（ステップＳ１６０）。次に、アクセス権付与部２２０は、アクセス要求を行ったユーザが属する組織として特定した組織が組織特定部２００から出力された上位・同位・下位組織情報により示される上位、同位および下位に位置する具体的組織の何れかに該当するか否かについて判定する（ステップＳ１８０）。
【００９９】
もし、上位、同位および下位に位置する具体的な組織の何れにも該当しないとアクセス権付与部２２０にて判定した場合（ステップＳ１８０にてＮＯ）、処理はステップＳ２４０に遷移する。一方、上位、同位および下位に位置する具体的な組織の何れかに該当するとアクセス権付与部２２０にて判定した場合（ステップＳ１８０にてＹＥＳ）、アクセス権付与部２２０は、アクセス権情報記憶部１６０に記憶されているアクセス権情報に基づいて、アクセス要求受付部１８０から出力されたオブジェクト情報により示されるオブジェクトについて、上位、同位および下位に位置する具体的な組織の何れかに該当すると判定した組織に所属するユーザがアクセス要求受付部１８０から出力されたアクセス種別情報により示されるアクセス（読み込み、書き込みおよび実行のいずれか）を許可されているか否かについて判定する（ステップＳ２００）。
【０１００】
もし、アクセスが許可されていないとアクセス権付与部２２０にて判定した場合（ステップＳ２００にてＮＯ）、処理はステップＳ２４０に遷移する。一方、アクセスが許可されているとアクセス権付与部２２０にて判定した場合（ステップＳ２００にてＹＥＳ）、アクセス権付与部２２０は、アクセス要求受付部１８０から出力されたユーザ情報により示されるユーザに対して、アクセス要求受付部１８０から出力されたオブジェクト情報により示されるオブジェクトに対するアクセス権を付与する処理を行う（ステップＳ２２０）。
【０１０１】
最後に、アクセス権管理装置１００は、アクセス権管理装置１００に備えられた操作部（図示せず）に対してユーザによる電源オフ操作が行なわれたか否かについて判定する（ステップＳ２４０）。もし、電源オフ操作が行なわれていないとアクセス権管理装置１００にて判定した場合（ステップＳ２４０にてＮＯ）、処理はステップＳ１００に遷移する。一方、電源オフ操作が行なわれたとアクセス権管理装置１００にて判定した場合（ステップＳ２４０にてＹＥＳ）、アクセス権管理装置１００は図７における処理を終了する。
【０１０２】
以上詳しく説明したように、本実施形態では、組織情報を記憶する組織情報記憶部１２０、所有情報を記憶する所有情報記憶部１４０および、アクセス権情報を記憶するアクセス権情報記憶部１６０を備えている。そして、情報端末１１０の操作部を介してユーザからアクセス要求のあったオブジェクトを所有している組織を所有情報に基づき特定するとともに、当該特定した組織を基準にして上位、同位および下位に位置する具体的な組織を組織情報に基づき特定し、アクセス権情報に基づいて、当該特定した具体的な組織に所属するユーザに関するオブジェクトへのアクセス権を制御するようにしている。
【０１０３】
このように構成した本実施形態によれば、組織情報、所有情報およびアクセス権情報を組織情報記憶部１２０、所有情報記憶部１４０およびアクセス権情報記憶部１６０にそれぞれ定義しておくだけで、オブジェクトを所有する組織を基準にして上位、同位および下位に位置する組織に所属するユーザに関する当該オブジェクトへのアクセス権が制御される。
【０１０４】
さらに、本実施形態では、アクセス権情報においてアクセス権を付与する対象組織を抽象的な概念（上位、同位および下位）で特定している。これにより、組織変更でオブジェクトを所有する組織の上位または下位に位置する組織に変更が行われたり、人事異動により当該上位または下位の組織に属するユーザの変更が行われた場合でも、管理者が組織情報を変更するという簡単な処理を行うだけで、組織変更後の上位組織や下位組織や、人事異動後のユーザに関するオブジェクトへのアクセス権が自動的に制御される。したがって、ディレクトリサービスを使用せずに、組織変更や人事異動があっても、組織全体のアクセス権の管理を容易に行うことができる。
【０１０５】
また、本実施形態によれば、オブジェクトを所有している組織の変更が行われたことによって、オブジェクトを所有している組織の上位、同位および下位に位置する組織に変更があった場合でも、管理者が所有情報を変更するという簡単な処理を行うだけで、オブジェクトを所有している組織の変更後の上位組織、同位組織および下位組織に所属するユーザに関するオブジェクトへのアクセス権が自動的に制御される。したがって、オブジェクトを所有している組織の変更があっても、組織全体のアクセス権の管理を容易に行うことができる。
【０１０６】
なお、上記実施形態では、アクセス権情報においてアクセス権を付与する対象組織を上位、同位および下位という抽象的な概念で特定する例について説明したが、本発明はこれに限定されない。例えば、アクセス権情報においてアクセス権を付与する対象組織を直属上位、同位および直属下位という抽象的な概念で特定するようにしても良い。また、アクセス権情報においてアクセス権を付与する対象組織を上位、直属上位、同位、直属下位および下位という抽象的な概念で特定するようにしても良い。このようにすれば、ユーザに関するオブジェクトへのアクセス権をきめ細かく制御することができるので、より好ましい。
【０１０７】
ただし、アクセス権情報においてアクセス権を付与する対象組織を上位、直属上位、同位、直属下位および下位という抽象的な概念で特定する場合には、上位および直属上位の両方に位置する組織に該当することが発生する可能性がある。この場合、アクセス権情報において上位に位置する組織に対して設定されたアクセス権をユーザに対して付与するのか、または、直属上位に対して設定されたアクセス権をユーザに対して付与するのか問題となる。この問題に対しては、例えば、アクセス権情報において、上位に位置する組織に対して設定されたアクセス権、直属上位に対して設定されたアクセス権のうち、より上位（または下位）のレコードに設定されたアクセス権をユーザに対して優先的に付与するようにしても良い。
【０１０８】
また、上記実施形態では、アクセス要求を行ったユーザの属する組織が、オブジェクトを所有している組織を基準にして上位、同位および下位の何れにも該当しない場合、当該ユーザに対してオブジェクトに対するアクセス権を付与する処理を行わない例について説明したが、本発明はこれに限定されない。例えば、アクセス要求を行ったユーザの属する組織が、オブジェクトを所有している組織を基準にして上位、同位および下位の何れにも該当しない場合であっても、あらかじめ設定されたデフォルトのアクセス権（例えば、オブジェクトの読み込みのみ可能）を付与するようにしても良い。
【０１０９】
また、上記実施形態では、ユーザに関するオブジェクトへのアクセス権の種類として、読み込み、書き込みおよび実行が存在する例について説明したが、本発明はこれに限定されない。例えば、ユーザに関するオブジェクトへのアクセス権の種類として、読み込み、書き込みおよび実行以外に、削除や印刷などが存在しても良い。
【０１１０】
また、上記実施形態では、ユーザからアクセス要求のあったオブジェクトを所有する組織を特定した後、当該特定した組織を基準にして上位、同位および下位に位置する具体的な組織を特定する例について説明したが、本発明における処理の流れはこれに限定されない。例えば、ユーザからアクセス要求のあったオブジェクトを所有する組織を特定した後、アクセス要求を行ったユーザが属する組織を特定する。そして、当該オブジェクトを所有する組織を基準にして当該ユーザの属する組織が上位、同位および下位のうち何れの位置に該当するかを特定し、当該特定した位置に該当する組織に所属するユーザに対して、アクセス要求のあったオブジェクトへのアクセス権を付与するようにしても良い。
【０１１１】
また、上記実施形態では、複数の組織を階層構造で管理し、オブジェクトに対するユーザのアクセス権を組織毎に管理する例について説明したが、本発明はこれに限定されない。例えば、組織という概念をなくし、複数のユーザを階層構造で管理し、オブジェクトに対するユーザのアクセス権をユーザ毎に管理するようにしても良い。すなわち、本発明の主体は、組織やユーザグループのように、アクセスを直接要求する一次主体への解決を必要とする二次主体に限らず、アクセスを直接要求するユーザのような一次主体であっても良い。
【０１１２】
また、アクセス権情報記憶部１６０に記憶されるアクセス権情報には、上位、同位および下位という抽象的な概念により表した組織と当該組織に所属するユーザのオブジェクトへのアクセス権とを関連付けた情報だけでなく、具体的な組織（例えば、組織１０）と当該組織に所属するユーザのオブジェクトへのアクセス権とを関連付けた情報が含まれても良い。
【０１１３】
その他、上記実施形態は、何れも本発明を実施するにあたっての具体化の一例を示したものに過ぎず、これらによって本発明の技術的範囲が限定的に解釈されてはならないものである。すなわち、本発明はその精神、またはその主要な特徴から逸脱することなく、様々な形で実施することができる。
【符号の説明】
【０１１４】
１０，２０，２１，３２，３３，４１，４２ 組織
Ａ，Ｂ，Ｃ，Ｄ，Ｅ ユーザ
α，β オブジェクト
５０ アクセス権管理システム
１００ アクセス権管理装置
１１０ 情報端末
１２０ 組織情報記憶部
１４０ 所有情報記憶部
１６０ アクセス権情報記憶部
１８０ アクセス要求受付部
２００ 組織特定部
２２０ アクセス権付与部
【特許請求の範囲】
【請求項１】
オブジェクトにアクセスする複数の主体からなる階層構造に関する階層構造情報を記憶する階層構造情報記憶部と、
アクセス対象のオブジェクトを所有する主体を示す所有情報を記憶する所有情報記憶部と、
上位、同位および下位という抽象的な概念により表した主体と、当該主体の前記オブジェクトへのアクセス権とを関連付けた情報であるアクセス権情報を記憶するアクセス権情報記憶部と、
アクセス要求のあったオブジェクトを所有している主体を前記所有情報に基づき特定する第１主体特定部と、
前記アクセス要求を行った主体を前記階層構造情報に基づき特定する第２主体特定部と、
前記第１主体特定部により特定された主体を基準にして、前記第２主体特定部により特定された主体が上位、同位および下位のうち何れの位置に該当するかを特定する位置特定部と、
前記アクセス権情報に基づいて、前記アクセス要求を行った主体に対して、前記位置特定部により特定された位置に対応するアクセス権を付与するように制御するアクセス権付与部とを備えたことを特徴とするアクセス権管理装置。
【請求項２】
アクセス対象のオブジェクトを所有する主体を示す所有情報に基づいて、アクセス要求のあったオブジェクトを所有する主体を特定する第１主体特定手段、
オブジェクトにアクセスする複数の主体からなる階層構造に関する階層構造情報に基づいて、前記アクセス要求を行った主体を特定する第２主体特定手段、
前記第１主体特定手段により特定された主体を基準にして、前記第２主体特定手段により特定された主体が上位、同位および下位のうち何れの位置に該当するかを特定する位置特定手段、および
上位、同位および下位という抽象的な概念により表した主体と当該主体の前記オブジェクトへのアクセス権とを関連付けた情報であるアクセス権情報に基づいて、前記アクセス要求を行った主体に対して、前記位置特定手段により特定された位置に対応するアクセス権を付与するように制御するアクセス権付与手段として機能させるためのコンピュータ読み取り可能なアクセス権管理プログラム。
【請求項１】
オブジェクトにアクセスする複数の主体からなる階層構造に関する階層構造情報を記憶する階層構造情報記憶部と、
アクセス対象のオブジェクトを所有する主体を示す所有情報を記憶する所有情報記憶部と、
上位、同位および下位という抽象的な概念により表した主体と、当該主体の前記オブジェクトへのアクセス権とを関連付けた情報であるアクセス権情報を記憶するアクセス権情報記憶部と、
アクセス要求のあったオブジェクトを所有している主体を前記所有情報に基づき特定する第１主体特定部と、
前記アクセス要求を行った主体を前記階層構造情報に基づき特定する第２主体特定部と、
前記第１主体特定部により特定された主体を基準にして、前記第２主体特定部により特定された主体が上位、同位および下位のうち何れの位置に該当するかを特定する位置特定部と、
前記アクセス権情報に基づいて、前記アクセス要求を行った主体に対して、前記位置特定部により特定された位置に対応するアクセス権を付与するように制御するアクセス権付与部とを備えたことを特徴とするアクセス権管理装置。
【請求項２】
アクセス対象のオブジェクトを所有する主体を示す所有情報に基づいて、アクセス要求のあったオブジェクトを所有する主体を特定する第１主体特定手段、
オブジェクトにアクセスする複数の主体からなる階層構造に関する階層構造情報に基づいて、前記アクセス要求を行った主体を特定する第２主体特定手段、
前記第１主体特定手段により特定された主体を基準にして、前記第２主体特定手段により特定された主体が上位、同位および下位のうち何れの位置に該当するかを特定する位置特定手段、および
上位、同位および下位という抽象的な概念により表した主体と当該主体の前記オブジェクトへのアクセス権とを関連付けた情報であるアクセス権情報に基づいて、前記アクセス要求を行った主体に対して、前記位置特定手段により特定された位置に対応するアクセス権を付与するように制御するアクセス権付与手段として機能させるためのコンピュータ読み取り可能なアクセス権管理プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【公開番号】特開２０１１−７６５６９（Ｐ２０１１−７６５６９Ａ）
【公開日】平成２３年４月１４日（２０１１．４．１４）
【国際特許分類】
【出願番号】特願２００９−２３０３９３（Ｐ２００９−２３０３９３）
【出願日】平成２１年１０月２日（２００９．１０．２）
【出願人】（５０２２２０１６０）アリエル・ネットワーク株式会社 (3)
【Ｆターム（参考）】
【公開日】平成２３年４月１４日（２０１１．４．１４）
【国際特許分類】
【出願日】平成２１年１０月２日（２００９．１０．２）
【出願人】（５０２２２０１６０）アリエル・ネットワーク株式会社 (3)
【Ｆターム（参考）】
[ Back to top ]