アクセス管理システム及びアクセス管理方法
【課題】多種のアクセス制限を柔軟に組み合わせる。
【解決手段】
ユーザーからの情報資源に対するアクセス要求を取得するアクセス要求取得部11と、アクセス権限の有無を判定する複数の判定基準の各々に対応する複数の判定プログラムを格納する判定プログラム格納部14と、判定基準との比較対象となるユーザー情報を定義するユーザー情報定義テーブル123と、アクセス要求に対して実行される判定プログラムおよび実行順序を定義する実行順序定義テーブル121と、アクセス要求に基づいてユーザー情報定義テーブル123からユーザー情報、実行順序定義テーブル121から実行される判定プログラムおよび実行順序を取得すると共に判定プログラムを順次実行し、各々の判定結果の論理和および論理積の組合せによってユーザーのアクセス権限の有無を判定するアクセス権限判定部13を有するアクセス管理システム。
【解決手段】
ユーザーからの情報資源に対するアクセス要求を取得するアクセス要求取得部11と、アクセス権限の有無を判定する複数の判定基準の各々に対応する複数の判定プログラムを格納する判定プログラム格納部14と、判定基準との比較対象となるユーザー情報を定義するユーザー情報定義テーブル123と、アクセス要求に対して実行される判定プログラムおよび実行順序を定義する実行順序定義テーブル121と、アクセス要求に基づいてユーザー情報定義テーブル123からユーザー情報、実行順序定義テーブル121から実行される判定プログラムおよび実行順序を取得すると共に判定プログラムを順次実行し、各々の判定結果の論理和および論理積の組合せによってユーザーのアクセス権限の有無を判定するアクセス権限判定部13を有するアクセス管理システム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、ユーザーの情報資源に対するアクセス権限の有無を判定するアクセス管理システムおよびアクセス管理方法に関する。
【背景技術】
【0002】
一般に、重要な情報資源(リソース)に対してアクセス要求がなされた場合には、アクセス要求を行ったユーザーの登録情報に基づいてアクセス権限の有無が判定される。例えば、情報資源が人事に関する情報の場合には、人事部に所属する社員はアクセス権限を有するが、営業部の社員はアクセス権限が無いと判定する。このような判定処理は、情報資源へのアクセス許諾を受ける者とアクセス権の内容を対応付けしたアクセス制御リストを参照することで行われ、このアクセス制御リストはデータベースに予め登録されている(例えば特許文献1参照)。
【特許文献1】特開2001−195294号公報
【発明の開示】
【発明が解決しようとする課題】
【0003】
しかしながら、上記の技術においては、複数のアクセス制限を組み合わせる際の手法が統一されず、各アクセス制限の導入方法が異なっていた。例えば、各アクセス制限に対応する判定プログラムを順次実行する場合には、主処理のプログラムの中で判定プログラムの実行順序や実行条件などが定義されていた。このため、判定プログラムの実行順序や実行条件などを変更するためには各プログラムのソースコードの大幅な修正を要するという問題があった。
【0004】
また、機能毎に異なるアクセス制限を論理積(AND条件)および論理和(OR条件)を組み合わせて行うことが難しく、セキュリティの強度を柔軟に変更することが困難であった。
【0005】
そこで、本発明は、従来技術の問題に鑑み、機能毎に多種のアクセス制限を柔軟に組み合わせることが可能なアクセス管理システムおよびアクセス管理方法を提供することを目的とする。
【課題を解決するための手段】
【0006】
本発明に係るアクセス管理システムは、情報資源を格納する情報資源格納部と、ユーザーからの情報資源に対するアクセス要求を取得するアクセス要求取得部と、ユーザーの情報資源に対するアクセス権限の有無を判定する複数の判定基準の各々に対応する複数の判定プログラムを格納する判定プログラム格納部と、判定基準との比較対象となるユーザー情報を定義するユーザー情報定義テーブルと、アクセス要求に対して実行される判定プログラムおよび実行順序を定義する実行順序定義テーブルと、アクセス要求に基づいてユーザー情報定義テーブルからユーザー情報、実行順序定義テーブルから実行される判定プログラムおよび実行順序を取得し、これらの取得された情報に基づいて判定プログラムを順次実行し、それぞれの判定結果の論理和および論理積の組合せによってユーザーのアクセス権限の有無を判定するアクセス権限判定部と、を有することを特徴とする。
【0007】
本発明に係るアクセス管理方法は、コンピューター内の情報資源に対するユーザーからのアクセス要求を取得するアクセス要求取得ステップと、ユーザーの情報資源に対するアクセス権限の有無を判定する複数の判定基準の各々に対応する複数の判定プログラムを格納する判定プログラム格納ステップと、判定基準との比較対象となるユーザー情報を定義するユーザー情報定義ステップと、アクセス要求に対して実行される判定プログラムおよび実行順序を定義する実行順序定義ステップと、アクセス要求に基づいてユーザー情報定義ステップで定義されたユーザー情報、実行順序定義ステップで定義された実行される判定プログラムおよび実行順序を取得し、これらの取得された情報に基づいて判定プログラムを順次実行し、それぞれの判定結果の論理和および論理積の組合せによってユーザーのアクセス権限の有無を判定するアクセス権限判定ステップと、を有することを特徴とする。
【発明の効果】
【0008】
本発明によれば、機能毎に多種のアクセス制限を組み合わせることが可能なアクセス管理システムおよびアクセス管理方法が提供される。
【発明を実施するための最良の形態】
【0009】
以下、本発明の実施形態について図面を用いて説明する。図1は、本発明の一実施形態に係るアクセス管理システムの全体構成例を示す図である。同図に示されるように、本実施形態に係るアクセス管理システムは、アクセス管理サーバ1とクライアント端末2から構成されており、アクセス管理サーバ1に複数台のクライアント端末2がネットワーク3を介して接続されている。
【0010】
アクセス管理サーバ1は、アクセス要求取得部11、データベース部12、アクセス権限判定部13、判定プログラム格納部14、実行処理部15、および情報資源格納部16を有するコンピュータである。
【0011】
アクセス要求取得部11は、ネットワーク3を介してクライアント端末2から情報資源に対するアクセス要求を取得する装置である。
【0012】
データベース部12は、アクセス権限に関する各種の情報を格納するデータベースである。図2は、データベース部12の構成例を示すブロック図である。同図に示されるように、データベース部12は、実行順序定義テーブル121、判定プログラム定義テーブル122、ユーザー情報定義テーブル123、およびモジュール定義テーブル124を含んでいる。
【0013】
図3は、実行順序定義テーブル121の具体例を示す図である。同図に示されるように、実行順序定義テーブル121は、初期実行フラグ、機能ID、機能名称、判定プログラムID、許可時および拒否時の次判定プログラムIDなどをデータ項目に含んでいる。ここでは、設計に関する機能IDが“Fu−001”であり、これに対して実施される判定プログラムが“Ju−001”、“Ju−002”、および“Ju−003”であることが定義されている。また、初期実行フラグが“1”のプログラムが最初に実行される判定プログラムであり、判定処理の結果が許可または拒否の場合に実施されるプログラムを次判定プログラムIDで各々定義している。例えば、判定プログラム“Ju−001”の判定結果が拒否の場合には、次に実行する判定プログラムは“Ju−002”であることが示されている。尚、“―”は最終判定であることを示しており、判定プログラム“Ju−001”の判定結果が許可の場合には、他の判定プログラムは実行しない。
【0014】
図4は、判定プログラム定義テーブル122の具体例を示す図である。同図に示されるように、判定プログラム定義テーブル122は、機能ID、判定プログラムID、およびアクセス許可条件(判定基準)などをデータ項目に含んでいる。ここでは、機能IDに関連付けされた判定プログラムのそれぞれに対してアクセス許可条件が定義されている。例えば、機能IDが“Fu−001”の場合に実行される判定プログラムには“Ju−001”が含まれているが、判定プログラム“Ju−001”の中でのアクセス許可条件は「ユーザーの役職が係長以上であること」と定義されている。しかし、機能IDが“Fu−002”の場合には、同一の判定プログラム“Ju−001”を実行するが、アクセス許可条件は「ユーザーの役職が副部長以上であること」と定義されている。このように定義するため、共通する判定プログラムを用いつつ、機能に応じて異なる判定基準を設定することが可能となる。
【0015】
図5は、ユーザー情報定義テーブル123の具体例を示す図である。同図に示されるように、ユーザー情報定義テーブル123は、識別区分、ユーザーID、役職、社員区分、および役割などをデータ項目に含んでいる。ここではユーザーIDが“USER_A”のユーザー情報は“役職が部長、社員区分が正社員、役割が設計”と設定されている。尚、識別区分はアクセス制限の設定単位を示し、識別区分“G”はグループ単位で設定することを示している。
【0016】
図6は、モジュール定義テーブル124の具体例を示す図である。同図に示されるように、モジュール定義テーブル124は、判定プログラムID、モジュールID、モジュール名称、および格納場所をデータ項目に含んでおり、後述する判定プログラム格納部14との関連付けがなされている。
【0017】
アクセス権限判定部13は、ユーザー情報定義テーブル123および判定プログラム定義テーブル122を参照してユーザー情報およびアクセス要求に係る判定プログラムの情報をそれぞれ取得し、実行順序定義テーブル121およびモジュール定義テーブル124を参照して各判定プログラムを判定プログラム格納部14から読込み、判定処理を順次実行することで、論理和(OR条件)および論理積(AND条件)の組合せによってユーザーがアクセス権限を有するか否かを判定するプログラムである。
【0018】
図7は、アクセス管理システムにおけるアクセス権限を説明する図である。ここでは、‘+’は論理和(OR条件)、‘&’は論理積(AND条件)を示しており、設計機能に関しては“役職者、正社員、設計者のいずれかに該当すること”、原価管理機能に関しては“役職者または正社員の設計者であること”、部門負荷管理機能に関しては“役職者であること”を満たすユーザーがアクセスできることを論理式で示している。これらのアクセス権限を予め定義し、上述したようにデータベース部12内の各テーブルを定義することでアクセス権限判定部13における判定が可能となる。
【0019】
判定プログラム格納部14は、複数の機能に対して共通に設けられた汎用性のあるプログラムであって、情報資源に対するアクセス権限の有無を機能単位で判定する各種の判定プログラムを格納する記憶装置である。判定プログラムの具体例としては、役職判定プログラム、社員区分判定プログラム、役割判定プログラムなどが挙げられる。尚、判定プログラムは、それぞれモジュール化されているので、追加や修正が容易となっている。
【0020】
実行処理部15は、アクセス権限判定部13における判定結果に基づいて情報資源格納部16に格納された情報資源にアクセスするプログラムである。
【0021】
情報資源格納部16は、情報資源を機能単位で分類して格納する記憶装置である。情報資源としては、アクセス管理サーバ1において提供される各種の機能のそれぞれに対応する各種のプログラム(アプリケーションプログラムなど)や文字、音声、映像などの電子データなどが該当する。尚、本実施形態においては、情報資源へのアクセス要求とユーザーの機能選択を同義として説明する。
【0022】
クライアント端末2は、ユーザーがアクセス管理サーバ1に対してアクセス要求を行う際に用いるコンピュータである。本実施形態においては、ユーザーIDによって識別されているユーザーが、クライアント端末2上に表示されるメニュー選択画面において機能選択(情報資源へのアクセス要求)を行った場合について説明する。図8は、メニュー選択画面の具体例を示す図である。ここでは、ユーザーIDが“USER_A”のユーザーが設計機能に対してアクセス要求を行った場合が示されている。
【0023】
図9は、アクセス権限判定部13における判定処理の具体例を示すフローチャートである。
【0024】
S901において、アクセス要求取得部11は、ネットワーク3を介してクライアント端末2から入力されたアクセス要求を取得し、このアクセス要求に係る機能IDをアクセス権限判定部13に出力する。
【0025】
S902において、アクセス権限判定部13は、アクセス要求取得部11で取得された機能IDをキーとして実行順序定義テーブル121を参照し、実行対象となる判定プログラムの有無を判定する。ここで、実行対象となる判定プログラムが有る場合には、S903へ進む。これに対し、実行対象となる判定プログラムが無い場合には、S910へ進む。
【0026】
S903において、アクセス権限判定部13は、アクセス要求の機能に対応する判定プログラムのリスト、各判定プログラムの実行順序、および各判定プログラムの実行条件を関連付けした判定モデルを作成する。図10は、アクセス権限判定部13におけるアクセス権限の判定モデルを具体的に説明する図である。ここでは、実行順序定義テーブル121において初期実行フラグが“1”に設定された判定プログラムが最初に実行されることが示されている。また、判定処理の結果に応じて次に実行する判定プログラムを矢印で結ぶことで各判定プログラムの実行順序と実行条件が定義されている。図10(a)は、ユーザーが設計機能へアクセス要求を行った場合、図10(b)は原価管理機能へアクセス要求を行った場合、図10(c)は部門別負荷管理機能へアクセス要求を行った場合を示している。
【0027】
S904においては、判定プログラム定義テーブル122を参照し、判定モデルを構成する各判定プログラムで用いられるアクセス許可条件(判定基準)を取得する。例えば、設計機能にアクセス要求を行った際の役職判定では、アクセス許可条件は“ユーザーの役職が係長以上”であることが分かる。
【0028】
S905において、アクセス権限判定部13は、ユーザー情報定義テーブル123を参照し、アクセス要求を行ったユーザーのユーザー情報を取得する。例えば、ユーザーIDが“USER−A”の場合には、ユーザー情報定義テーブル123から役職が“部長”、社員区分が“正社員”、役割が“設計”というユーザー情報が取得される。
【0029】
S906において、アクセス権限判定部13は、判定モデルに基づいて1番目の判定プログラムを判定プログラム格納部14から読込み、判定処理を実行する。
【0030】
S907において、アクセス権限判定部13は、実行された判定プログラムの判定結果が最終判定に該当するか否かを判定する。すなわち、既に実行した判定プログラムの判定結果に基づいて判定モデルを参照し、次に実行する判定プログラムの有無を判定する。上述した図10(a)の場合には、役職判定の判定結果が許可ならば、最終判定となるが、判定結果が拒否ならば、次に実行する判定プログラムは“Ju−002(社員区分判定)”となる。
【0031】
ここで、判定結果が最終判定であると判定された場合にはS909へ進む。これに対し、最終判定ではないと判定された場合には、S908へ進む。
【0032】
S908において、アクセス権限判定部13は、判定モデルを参照して次の判定プログラムを判定プログラム格納部14から読込み、判定処理を実行した後に、S907へ戻る。尚、S907〜S908の処理は、最終判定が行われるまで繰り返される。
【0033】
S909において、アクセス権限判定部13は、単数若しくは複数の判定プログラムの判定結果の論理積および論理和の組合せに基づく最終判定結果を出力し、処理を終了する。尚、最終判定が“アクセス権限無し”の場合には、アクセス権限判定部13は、システムメッセージ表示画面を出力する。図11は、システムメッセージ表示画面の具体例を示す図である。
【0034】
図12は、アクセス権限判定部13におけるアクセス権限の判定処理を具体的に説明する図である。図12(a)は、ユーザーIDが“USER_A”のユーザーが設計機能へのアクセス要求を行った場合には、ユーザー情報定義テーブル123からユーザーの役職が部長であることが分かるので、判定プログラム“Ju−001(役職判定)”の判定結果が許可となり、“アクセス権限有り”の最終判定がなされることが示されている。一方、図12(b)は、ユーザーIDが“USER_F”のユーザーが設計機能へのアクセス要求を行った場合には、役職判定および社員区分判定が順番に実行されたが、いずれの判定結果も拒否であるので役割判定が行われるが拒否となり、“アクセス権限無し”の最終判定がなされることが示されている。
【0035】
また、S910において、アクセス権限判定部13は、最終判定結果をアクセス許可として処理を終了する。
【0036】
このように、データベース部12の各テーブルに定義された情報に基づいて判定プログラムを順次実行することで、アクセス権限の有無を論理和(OR条件)および論理積(AND条件)の組合せによって判定することが可能となる。図13は、アクセス権限判定部13における判定結果を示す図である。
【0037】
また、各判定プログラムはモジュール化されているので、アクセス権限の変更や追加が容易であり、セキュリティ強度を柔軟に変更できる。例えば、設計機能に対するアクセス権限の判定プログラムを新規に追加する場合には、各テーブルに必要な情報を追加・修正することによりアクセス権限を柔軟に変更可能となる。
【0038】
尚、本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。
【0039】
また、上記実施形態におけるアクセス管理システムはクライアント・サーバ方式であったが、単体の装置におけるアクセス管理の場合も同様に行うことができる。
【0040】
更に、各種のテーブルの定義方法も任意に変更可能である。例えば、ユーザー情報定義テーブル123において関連する判定プログラムとその判定プログラムで用いるユーザー情報(権限)を定義してもよい。図14は、ユーザー情報定義テーブル123の具体例を示す図である。ここでは、ユーザーIDが“USER_A”のユーザーのアクセス権限の有無に関して実行される判定プログラムが“Ju−001”、“Ju−002”、および“Ju−003”であることに加え、各判定プログラムで用いられるユーザー情報がそれぞれ定義されている。このように、各テーブルを既存のテーブルの構成などに対応して変更することでアクセス管理システムを容易に導入することができる。
【図面の簡単な説明】
【0041】
【図1】本発明の一実施形態に係るアクセス管理システムの全体構成例を示すブロック図。
【図2】本発明の一実施形態に係るデータベース部12の構成例を示すブロック図。
【図3】本発明の一実施形態に係る実行順序定義テーブル121の具体例を示す図。
【図4】本発明の一実施形態に係る判定プログラム定義テーブル122の具体例を示す図。
【図5】本発明の一実施形態に係るユーザー情報定義テーブル123の具体例を示す図。
【図6】本発明の一実施形態に係るモジュール定義テーブル124の具体例を示す図。
【図7】本発明の一実施形態に係るアクセス管理システムにおけるアクセス権限を説明する図。
【図8】本発明の一実施形態に係るクライアント端末2に表示されるメニュー選択画面の具体例を示す図。
【図9】本発明の一実施形態に係るアクセス権限判定部13における判定処理の具体例を示すフローチャート。
【図10】本発明の一実施形態に係るアクセス権限判定部13におけるアクセス権限の判定モデルを具体的に説明する図。
【図11】本発明の一実施形態に係るシステムメッセージ表示画面の具体例を示す図。
【図12】本発明の一実施形態に係るアクセス権限の判定処理を具体的に説明する図。
【図13】本発明の一実施形態に係るアクセス権限判定処理の判定結果を示す図。
【図14】本発明の他の実施形態に係るユーザー情報定義テーブル123の具体例を示す図。
【符号の説明】
【0042】
1…アクセス管理サーバ、
2…クライアント端末、
3…ネットワーク、
11…アクセス要求取得部、
12…データベース部、
13…アクセス権限判定部、
14…判定プログラム格納部、
15…実行処理部、
16…情報資源格納部、
121…実行順序定義テーブル、
122…判定プログラム定義テーブル、
123…ユーザー情報定義テーブル、
124…モジュール定義テーブル。
【技術分野】
【0001】
本発明は、ユーザーの情報資源に対するアクセス権限の有無を判定するアクセス管理システムおよびアクセス管理方法に関する。
【背景技術】
【0002】
一般に、重要な情報資源(リソース)に対してアクセス要求がなされた場合には、アクセス要求を行ったユーザーの登録情報に基づいてアクセス権限の有無が判定される。例えば、情報資源が人事に関する情報の場合には、人事部に所属する社員はアクセス権限を有するが、営業部の社員はアクセス権限が無いと判定する。このような判定処理は、情報資源へのアクセス許諾を受ける者とアクセス権の内容を対応付けしたアクセス制御リストを参照することで行われ、このアクセス制御リストはデータベースに予め登録されている(例えば特許文献1参照)。
【特許文献1】特開2001−195294号公報
【発明の開示】
【発明が解決しようとする課題】
【0003】
しかしながら、上記の技術においては、複数のアクセス制限を組み合わせる際の手法が統一されず、各アクセス制限の導入方法が異なっていた。例えば、各アクセス制限に対応する判定プログラムを順次実行する場合には、主処理のプログラムの中で判定プログラムの実行順序や実行条件などが定義されていた。このため、判定プログラムの実行順序や実行条件などを変更するためには各プログラムのソースコードの大幅な修正を要するという問題があった。
【0004】
また、機能毎に異なるアクセス制限を論理積(AND条件)および論理和(OR条件)を組み合わせて行うことが難しく、セキュリティの強度を柔軟に変更することが困難であった。
【0005】
そこで、本発明は、従来技術の問題に鑑み、機能毎に多種のアクセス制限を柔軟に組み合わせることが可能なアクセス管理システムおよびアクセス管理方法を提供することを目的とする。
【課題を解決するための手段】
【0006】
本発明に係るアクセス管理システムは、情報資源を格納する情報資源格納部と、ユーザーからの情報資源に対するアクセス要求を取得するアクセス要求取得部と、ユーザーの情報資源に対するアクセス権限の有無を判定する複数の判定基準の各々に対応する複数の判定プログラムを格納する判定プログラム格納部と、判定基準との比較対象となるユーザー情報を定義するユーザー情報定義テーブルと、アクセス要求に対して実行される判定プログラムおよび実行順序を定義する実行順序定義テーブルと、アクセス要求に基づいてユーザー情報定義テーブルからユーザー情報、実行順序定義テーブルから実行される判定プログラムおよび実行順序を取得し、これらの取得された情報に基づいて判定プログラムを順次実行し、それぞれの判定結果の論理和および論理積の組合せによってユーザーのアクセス権限の有無を判定するアクセス権限判定部と、を有することを特徴とする。
【0007】
本発明に係るアクセス管理方法は、コンピューター内の情報資源に対するユーザーからのアクセス要求を取得するアクセス要求取得ステップと、ユーザーの情報資源に対するアクセス権限の有無を判定する複数の判定基準の各々に対応する複数の判定プログラムを格納する判定プログラム格納ステップと、判定基準との比較対象となるユーザー情報を定義するユーザー情報定義ステップと、アクセス要求に対して実行される判定プログラムおよび実行順序を定義する実行順序定義ステップと、アクセス要求に基づいてユーザー情報定義ステップで定義されたユーザー情報、実行順序定義ステップで定義された実行される判定プログラムおよび実行順序を取得し、これらの取得された情報に基づいて判定プログラムを順次実行し、それぞれの判定結果の論理和および論理積の組合せによってユーザーのアクセス権限の有無を判定するアクセス権限判定ステップと、を有することを特徴とする。
【発明の効果】
【0008】
本発明によれば、機能毎に多種のアクセス制限を組み合わせることが可能なアクセス管理システムおよびアクセス管理方法が提供される。
【発明を実施するための最良の形態】
【0009】
以下、本発明の実施形態について図面を用いて説明する。図1は、本発明の一実施形態に係るアクセス管理システムの全体構成例を示す図である。同図に示されるように、本実施形態に係るアクセス管理システムは、アクセス管理サーバ1とクライアント端末2から構成されており、アクセス管理サーバ1に複数台のクライアント端末2がネットワーク3を介して接続されている。
【0010】
アクセス管理サーバ1は、アクセス要求取得部11、データベース部12、アクセス権限判定部13、判定プログラム格納部14、実行処理部15、および情報資源格納部16を有するコンピュータである。
【0011】
アクセス要求取得部11は、ネットワーク3を介してクライアント端末2から情報資源に対するアクセス要求を取得する装置である。
【0012】
データベース部12は、アクセス権限に関する各種の情報を格納するデータベースである。図2は、データベース部12の構成例を示すブロック図である。同図に示されるように、データベース部12は、実行順序定義テーブル121、判定プログラム定義テーブル122、ユーザー情報定義テーブル123、およびモジュール定義テーブル124を含んでいる。
【0013】
図3は、実行順序定義テーブル121の具体例を示す図である。同図に示されるように、実行順序定義テーブル121は、初期実行フラグ、機能ID、機能名称、判定プログラムID、許可時および拒否時の次判定プログラムIDなどをデータ項目に含んでいる。ここでは、設計に関する機能IDが“Fu−001”であり、これに対して実施される判定プログラムが“Ju−001”、“Ju−002”、および“Ju−003”であることが定義されている。また、初期実行フラグが“1”のプログラムが最初に実行される判定プログラムであり、判定処理の結果が許可または拒否の場合に実施されるプログラムを次判定プログラムIDで各々定義している。例えば、判定プログラム“Ju−001”の判定結果が拒否の場合には、次に実行する判定プログラムは“Ju−002”であることが示されている。尚、“―”は最終判定であることを示しており、判定プログラム“Ju−001”の判定結果が許可の場合には、他の判定プログラムは実行しない。
【0014】
図4は、判定プログラム定義テーブル122の具体例を示す図である。同図に示されるように、判定プログラム定義テーブル122は、機能ID、判定プログラムID、およびアクセス許可条件(判定基準)などをデータ項目に含んでいる。ここでは、機能IDに関連付けされた判定プログラムのそれぞれに対してアクセス許可条件が定義されている。例えば、機能IDが“Fu−001”の場合に実行される判定プログラムには“Ju−001”が含まれているが、判定プログラム“Ju−001”の中でのアクセス許可条件は「ユーザーの役職が係長以上であること」と定義されている。しかし、機能IDが“Fu−002”の場合には、同一の判定プログラム“Ju−001”を実行するが、アクセス許可条件は「ユーザーの役職が副部長以上であること」と定義されている。このように定義するため、共通する判定プログラムを用いつつ、機能に応じて異なる判定基準を設定することが可能となる。
【0015】
図5は、ユーザー情報定義テーブル123の具体例を示す図である。同図に示されるように、ユーザー情報定義テーブル123は、識別区分、ユーザーID、役職、社員区分、および役割などをデータ項目に含んでいる。ここではユーザーIDが“USER_A”のユーザー情報は“役職が部長、社員区分が正社員、役割が設計”と設定されている。尚、識別区分はアクセス制限の設定単位を示し、識別区分“G”はグループ単位で設定することを示している。
【0016】
図6は、モジュール定義テーブル124の具体例を示す図である。同図に示されるように、モジュール定義テーブル124は、判定プログラムID、モジュールID、モジュール名称、および格納場所をデータ項目に含んでおり、後述する判定プログラム格納部14との関連付けがなされている。
【0017】
アクセス権限判定部13は、ユーザー情報定義テーブル123および判定プログラム定義テーブル122を参照してユーザー情報およびアクセス要求に係る判定プログラムの情報をそれぞれ取得し、実行順序定義テーブル121およびモジュール定義テーブル124を参照して各判定プログラムを判定プログラム格納部14から読込み、判定処理を順次実行することで、論理和(OR条件)および論理積(AND条件)の組合せによってユーザーがアクセス権限を有するか否かを判定するプログラムである。
【0018】
図7は、アクセス管理システムにおけるアクセス権限を説明する図である。ここでは、‘+’は論理和(OR条件)、‘&’は論理積(AND条件)を示しており、設計機能に関しては“役職者、正社員、設計者のいずれかに該当すること”、原価管理機能に関しては“役職者または正社員の設計者であること”、部門負荷管理機能に関しては“役職者であること”を満たすユーザーがアクセスできることを論理式で示している。これらのアクセス権限を予め定義し、上述したようにデータベース部12内の各テーブルを定義することでアクセス権限判定部13における判定が可能となる。
【0019】
判定プログラム格納部14は、複数の機能に対して共通に設けられた汎用性のあるプログラムであって、情報資源に対するアクセス権限の有無を機能単位で判定する各種の判定プログラムを格納する記憶装置である。判定プログラムの具体例としては、役職判定プログラム、社員区分判定プログラム、役割判定プログラムなどが挙げられる。尚、判定プログラムは、それぞれモジュール化されているので、追加や修正が容易となっている。
【0020】
実行処理部15は、アクセス権限判定部13における判定結果に基づいて情報資源格納部16に格納された情報資源にアクセスするプログラムである。
【0021】
情報資源格納部16は、情報資源を機能単位で分類して格納する記憶装置である。情報資源としては、アクセス管理サーバ1において提供される各種の機能のそれぞれに対応する各種のプログラム(アプリケーションプログラムなど)や文字、音声、映像などの電子データなどが該当する。尚、本実施形態においては、情報資源へのアクセス要求とユーザーの機能選択を同義として説明する。
【0022】
クライアント端末2は、ユーザーがアクセス管理サーバ1に対してアクセス要求を行う際に用いるコンピュータである。本実施形態においては、ユーザーIDによって識別されているユーザーが、クライアント端末2上に表示されるメニュー選択画面において機能選択(情報資源へのアクセス要求)を行った場合について説明する。図8は、メニュー選択画面の具体例を示す図である。ここでは、ユーザーIDが“USER_A”のユーザーが設計機能に対してアクセス要求を行った場合が示されている。
【0023】
図9は、アクセス権限判定部13における判定処理の具体例を示すフローチャートである。
【0024】
S901において、アクセス要求取得部11は、ネットワーク3を介してクライアント端末2から入力されたアクセス要求を取得し、このアクセス要求に係る機能IDをアクセス権限判定部13に出力する。
【0025】
S902において、アクセス権限判定部13は、アクセス要求取得部11で取得された機能IDをキーとして実行順序定義テーブル121を参照し、実行対象となる判定プログラムの有無を判定する。ここで、実行対象となる判定プログラムが有る場合には、S903へ進む。これに対し、実行対象となる判定プログラムが無い場合には、S910へ進む。
【0026】
S903において、アクセス権限判定部13は、アクセス要求の機能に対応する判定プログラムのリスト、各判定プログラムの実行順序、および各判定プログラムの実行条件を関連付けした判定モデルを作成する。図10は、アクセス権限判定部13におけるアクセス権限の判定モデルを具体的に説明する図である。ここでは、実行順序定義テーブル121において初期実行フラグが“1”に設定された判定プログラムが最初に実行されることが示されている。また、判定処理の結果に応じて次に実行する判定プログラムを矢印で結ぶことで各判定プログラムの実行順序と実行条件が定義されている。図10(a)は、ユーザーが設計機能へアクセス要求を行った場合、図10(b)は原価管理機能へアクセス要求を行った場合、図10(c)は部門別負荷管理機能へアクセス要求を行った場合を示している。
【0027】
S904においては、判定プログラム定義テーブル122を参照し、判定モデルを構成する各判定プログラムで用いられるアクセス許可条件(判定基準)を取得する。例えば、設計機能にアクセス要求を行った際の役職判定では、アクセス許可条件は“ユーザーの役職が係長以上”であることが分かる。
【0028】
S905において、アクセス権限判定部13は、ユーザー情報定義テーブル123を参照し、アクセス要求を行ったユーザーのユーザー情報を取得する。例えば、ユーザーIDが“USER−A”の場合には、ユーザー情報定義テーブル123から役職が“部長”、社員区分が“正社員”、役割が“設計”というユーザー情報が取得される。
【0029】
S906において、アクセス権限判定部13は、判定モデルに基づいて1番目の判定プログラムを判定プログラム格納部14から読込み、判定処理を実行する。
【0030】
S907において、アクセス権限判定部13は、実行された判定プログラムの判定結果が最終判定に該当するか否かを判定する。すなわち、既に実行した判定プログラムの判定結果に基づいて判定モデルを参照し、次に実行する判定プログラムの有無を判定する。上述した図10(a)の場合には、役職判定の判定結果が許可ならば、最終判定となるが、判定結果が拒否ならば、次に実行する判定プログラムは“Ju−002(社員区分判定)”となる。
【0031】
ここで、判定結果が最終判定であると判定された場合にはS909へ進む。これに対し、最終判定ではないと判定された場合には、S908へ進む。
【0032】
S908において、アクセス権限判定部13は、判定モデルを参照して次の判定プログラムを判定プログラム格納部14から読込み、判定処理を実行した後に、S907へ戻る。尚、S907〜S908の処理は、最終判定が行われるまで繰り返される。
【0033】
S909において、アクセス権限判定部13は、単数若しくは複数の判定プログラムの判定結果の論理積および論理和の組合せに基づく最終判定結果を出力し、処理を終了する。尚、最終判定が“アクセス権限無し”の場合には、アクセス権限判定部13は、システムメッセージ表示画面を出力する。図11は、システムメッセージ表示画面の具体例を示す図である。
【0034】
図12は、アクセス権限判定部13におけるアクセス権限の判定処理を具体的に説明する図である。図12(a)は、ユーザーIDが“USER_A”のユーザーが設計機能へのアクセス要求を行った場合には、ユーザー情報定義テーブル123からユーザーの役職が部長であることが分かるので、判定プログラム“Ju−001(役職判定)”の判定結果が許可となり、“アクセス権限有り”の最終判定がなされることが示されている。一方、図12(b)は、ユーザーIDが“USER_F”のユーザーが設計機能へのアクセス要求を行った場合には、役職判定および社員区分判定が順番に実行されたが、いずれの判定結果も拒否であるので役割判定が行われるが拒否となり、“アクセス権限無し”の最終判定がなされることが示されている。
【0035】
また、S910において、アクセス権限判定部13は、最終判定結果をアクセス許可として処理を終了する。
【0036】
このように、データベース部12の各テーブルに定義された情報に基づいて判定プログラムを順次実行することで、アクセス権限の有無を論理和(OR条件)および論理積(AND条件)の組合せによって判定することが可能となる。図13は、アクセス権限判定部13における判定結果を示す図である。
【0037】
また、各判定プログラムはモジュール化されているので、アクセス権限の変更や追加が容易であり、セキュリティ強度を柔軟に変更できる。例えば、設計機能に対するアクセス権限の判定プログラムを新規に追加する場合には、各テーブルに必要な情報を追加・修正することによりアクセス権限を柔軟に変更可能となる。
【0038】
尚、本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。
【0039】
また、上記実施形態におけるアクセス管理システムはクライアント・サーバ方式であったが、単体の装置におけるアクセス管理の場合も同様に行うことができる。
【0040】
更に、各種のテーブルの定義方法も任意に変更可能である。例えば、ユーザー情報定義テーブル123において関連する判定プログラムとその判定プログラムで用いるユーザー情報(権限)を定義してもよい。図14は、ユーザー情報定義テーブル123の具体例を示す図である。ここでは、ユーザーIDが“USER_A”のユーザーのアクセス権限の有無に関して実行される判定プログラムが“Ju−001”、“Ju−002”、および“Ju−003”であることに加え、各判定プログラムで用いられるユーザー情報がそれぞれ定義されている。このように、各テーブルを既存のテーブルの構成などに対応して変更することでアクセス管理システムを容易に導入することができる。
【図面の簡単な説明】
【0041】
【図1】本発明の一実施形態に係るアクセス管理システムの全体構成例を示すブロック図。
【図2】本発明の一実施形態に係るデータベース部12の構成例を示すブロック図。
【図3】本発明の一実施形態に係る実行順序定義テーブル121の具体例を示す図。
【図4】本発明の一実施形態に係る判定プログラム定義テーブル122の具体例を示す図。
【図5】本発明の一実施形態に係るユーザー情報定義テーブル123の具体例を示す図。
【図6】本発明の一実施形態に係るモジュール定義テーブル124の具体例を示す図。
【図7】本発明の一実施形態に係るアクセス管理システムにおけるアクセス権限を説明する図。
【図8】本発明の一実施形態に係るクライアント端末2に表示されるメニュー選択画面の具体例を示す図。
【図9】本発明の一実施形態に係るアクセス権限判定部13における判定処理の具体例を示すフローチャート。
【図10】本発明の一実施形態に係るアクセス権限判定部13におけるアクセス権限の判定モデルを具体的に説明する図。
【図11】本発明の一実施形態に係るシステムメッセージ表示画面の具体例を示す図。
【図12】本発明の一実施形態に係るアクセス権限の判定処理を具体的に説明する図。
【図13】本発明の一実施形態に係るアクセス権限判定処理の判定結果を示す図。
【図14】本発明の他の実施形態に係るユーザー情報定義テーブル123の具体例を示す図。
【符号の説明】
【0042】
1…アクセス管理サーバ、
2…クライアント端末、
3…ネットワーク、
11…アクセス要求取得部、
12…データベース部、
13…アクセス権限判定部、
14…判定プログラム格納部、
15…実行処理部、
16…情報資源格納部、
121…実行順序定義テーブル、
122…判定プログラム定義テーブル、
123…ユーザー情報定義テーブル、
124…モジュール定義テーブル。
【特許請求の範囲】
【請求項1】
情報資源を格納する情報資源格納部と、
ユーザーからの前記情報資源に対するアクセス要求を取得するアクセス要求取得部と、
前記ユーザーの前記情報資源に対するアクセス権限の有無を判定する複数の判定基準の各々に対応する複数の判定プログラムを格納する判定プログラム格納部と、
前記判定基準との比較対象となる前記ユーザー情報を定義するユーザー情報定義テーブルと、
前記アクセス要求に対して実行される前記判定プログラムおよび実行順序を定義する実行順序定義テーブルと、
前記アクセス要求に基づいて前記ユーザー情報定義テーブルから前記ユーザー情報、前記実行順序定義テーブルから前記実行される前記判定プログラムおよび前記実行順序を取得し、これらの取得された情報に基づいて前記判定プログラムを順次実行し、それぞれの判定結果の論理和および論理積の組合せによって前記ユーザーの前記アクセス権限の有無を判定するアクセス権限判定部と、
を有することを特徴とするアクセス管理システム。
【請求項2】
前記判定基準をコンピューター上で提供される機能単位で定義した判定プログラム定義テーブルを更に備え、
前記アクセス権限判定部は、前記判定基準に基づいて前記判定プログラムをそれぞれ実行することを特徴とする請求項1記載のアクセス管理システム。
【請求項3】
前記判定プログラムは、少なくとも役職判定、社員区分判定、および役割判定に対応して個別に備えられていることを特徴とする請求項1または請求項2記載のアクセス管理システム。
【請求項4】
コンピューター内の情報資源に対するユーザーからのアクセス要求を取得するアクセス要求取得ステップと、
前記ユーザーの前記情報資源に対するアクセス権限の有無を判定する複数の判定基準の各々に対応する複数の判定プログラムを格納する判定プログラム格納ステップと、
前記判定基準との比較対象となる前記ユーザー情報を定義するユーザー情報定義ステップと、
前記アクセス要求に対して実行される前記判定プログラムおよび実行順序を定義する実行順序定義ステップと、
前記アクセス要求に基づいて前記ユーザー情報定義ステップで定義された前記ユーザー情報、前記実行順序定義ステップで定義された前記実行される前記判定プログラムおよび前記実行順序を取得し、これらの取得された情報に基づいて前記判定プログラムを順次実行し、それぞれの判定結果の論理和および論理積の組合せによって前記ユーザーの前記アクセス権限の有無を判定するアクセス権限判定ステップと、
を有することを特徴とするアクセス管理方法。
【請求項5】
前記判定基準を前記コンピューター上で提供される機能単位で定義する判定プログラム定義ステップを更に備え、
前記アクセス権限判定ステップにおいて、前記判定基準に基づいて前記判定プログラムをそれぞれ実行することを特徴とする請求項4記載のアクセス管理方法。
【請求項1】
情報資源を格納する情報資源格納部と、
ユーザーからの前記情報資源に対するアクセス要求を取得するアクセス要求取得部と、
前記ユーザーの前記情報資源に対するアクセス権限の有無を判定する複数の判定基準の各々に対応する複数の判定プログラムを格納する判定プログラム格納部と、
前記判定基準との比較対象となる前記ユーザー情報を定義するユーザー情報定義テーブルと、
前記アクセス要求に対して実行される前記判定プログラムおよび実行順序を定義する実行順序定義テーブルと、
前記アクセス要求に基づいて前記ユーザー情報定義テーブルから前記ユーザー情報、前記実行順序定義テーブルから前記実行される前記判定プログラムおよび前記実行順序を取得し、これらの取得された情報に基づいて前記判定プログラムを順次実行し、それぞれの判定結果の論理和および論理積の組合せによって前記ユーザーの前記アクセス権限の有無を判定するアクセス権限判定部と、
を有することを特徴とするアクセス管理システム。
【請求項2】
前記判定基準をコンピューター上で提供される機能単位で定義した判定プログラム定義テーブルを更に備え、
前記アクセス権限判定部は、前記判定基準に基づいて前記判定プログラムをそれぞれ実行することを特徴とする請求項1記載のアクセス管理システム。
【請求項3】
前記判定プログラムは、少なくとも役職判定、社員区分判定、および役割判定に対応して個別に備えられていることを特徴とする請求項1または請求項2記載のアクセス管理システム。
【請求項4】
コンピューター内の情報資源に対するユーザーからのアクセス要求を取得するアクセス要求取得ステップと、
前記ユーザーの前記情報資源に対するアクセス権限の有無を判定する複数の判定基準の各々に対応する複数の判定プログラムを格納する判定プログラム格納ステップと、
前記判定基準との比較対象となる前記ユーザー情報を定義するユーザー情報定義ステップと、
前記アクセス要求に対して実行される前記判定プログラムおよび実行順序を定義する実行順序定義ステップと、
前記アクセス要求に基づいて前記ユーザー情報定義ステップで定義された前記ユーザー情報、前記実行順序定義ステップで定義された前記実行される前記判定プログラムおよび前記実行順序を取得し、これらの取得された情報に基づいて前記判定プログラムを順次実行し、それぞれの判定結果の論理和および論理積の組合せによって前記ユーザーの前記アクセス権限の有無を判定するアクセス権限判定ステップと、
を有することを特徴とするアクセス管理方法。
【請求項5】
前記判定基準を前記コンピューター上で提供される機能単位で定義する判定プログラム定義ステップを更に備え、
前記アクセス権限判定ステップにおいて、前記判定基準に基づいて前記判定プログラムをそれぞれ実行することを特徴とする請求項4記載のアクセス管理方法。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【公開番号】特開2009−181427(P2009−181427A)
【公開日】平成21年8月13日(2009.8.13)
【国際特許分類】
【出願番号】特願2008−21014(P2008−21014)
【出願日】平成20年1月31日(2008.1.31)
【出願人】(000003078)株式会社東芝 (54,554)
【出願人】(301063496)東芝ソリューション株式会社 (1,478)
【Fターム(参考)】
【公開日】平成21年8月13日(2009.8.13)
【国際特許分類】
【出願日】平成20年1月31日(2008.1.31)
【出願人】(000003078)株式会社東芝 (54,554)
【出願人】(301063496)東芝ソリューション株式会社 (1,478)
【Fターム(参考)】
[ Back to top ]