セキュリティ管理システム、セキュリティ管理方法、及びプログラム
【課題】セキュリティポリシーが適用される機器の負荷の低減と、セキュリティポリシーの更新処理の迅速化とを図り得る、セキュリティ管理システム、セキュリティ管理方法、及びプログラムを提供する。
【解決手段】計算機２０は、保持されているデータの有効又は無効を示すフラグ２９を有するキャッシュ２６を備える。セキュリティサーバ１０は、アクセス制御ルールを含むセキュリティポリシーを管理し、計算機２０からの要求に応じて、対応するアクセス制御ルールを送信する。計算機２０は、フラグが無効を示す場合、セキュリティサーバ１０に、アクセス制御ルールの送信を要求し、キャッシュ２６に、セキュリティサーバ１０から送信されたアクセス制御ルール２８を保持する。セキュリティサーバ１０は、セキュリティポリシーを更新する場合、計算機２０に、フラグ２６が無効を示すように指示を与える。
【解決手段】計算機２０は、保持されているデータの有効又は無効を示すフラグ２９を有するキャッシュ２６を備える。セキュリティサーバ１０は、アクセス制御ルールを含むセキュリティポリシーを管理し、計算機２０からの要求に応じて、対応するアクセス制御ルールを送信する。計算機２０は、フラグが無効を示す場合、セキュリティサーバ１０に、アクセス制御ルールの送信を要求し、キャッシュ２６に、セキュリティサーバ１０から送信されたアクセス制御ルール２８を保持する。セキュリティサーバ１０は、セキュリティポリシーを更新する場合、計算機２０に、フラグ２６が無効を示すように指示を与える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティ管理システム、セキュリティ管理方法、及びプログラムに関する。
【背景技術】
【０００２】
従来から、一部のＯＳ（Operating System）には、強制アクセス制御が組み込まれている。ＯＳの強制アクセス制御は、正当な権限無しでは情報資産を参照及び更新できないようにできるため、システムのセキュリティを保全する上で、非常に有益な機能である。とりわけ、多数の利用者が共有の計算機資源を利用する環境、典型的には「SaaS」または「PaaS」と呼ばれる環境においては、強制アクセス制御を用いることにより、効果的に情報資産へのアクセスの正当性を担保する事ができる。
【０００３】
また、強制アクセス制御メカニズムを正しく動作させるためには、誰にどのような操作を許可または禁止させるかを記述した「セキュリティポリシー」が正しく設定されている必要がある。更に、一台の計算機で運用する場合とは異なり、多数の計算機から成るクラスタで強制アクセス制御メカニズムを利用する際には、これら計算機の間でセキュリティポリシーの一貫性を少ない労力で保持することも必要となる。
【０００４】
このような要求に対応するため、Yum(Yellowdog Updater Modified)、又はApt(Advanced Packaging Took)といった、パッケージ管理ツールを用いた方法が採用されている。このような方法では、パッケージ管理ツールによって、セキュリティポリシーを含むパッケージが更新され、更に、クラスタ内の計算機全体にセキュリティポリシーが配布される。
【０００５】
但し、上記の方法では、クラスタ内の各計算機の間でパッケージを更新するタイミングを同期することが難しいという問題がある。このため、場合によっては、クラスタ内の一部の計算機では最新のセキュリティポリシーが適用されているものの、それ以外の計算機では古いセキュリティポリシーが適用されているといった、危険な状態が発生する可能性がある。
【０００６】
このような問題を解決するため、セキュリティポリシー配布用のサーバを設置し、このサーバからクラスタ内の各計算機にセキュリティポリシーを配布する技術が提案されている（例えば、特許文献１、特許文献２、及び特許文献３参照。）。また、特許文献１〜３に開示された技術では、配布されるセキュリティポリシーに対して、場合によっては、計算機に応じたカスタマイズが加える場合もある。特許文献１〜３に開示された技術によれば、上述の要求に対応しつつ、上記の問題を解決することができると考えられる。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００４−０９４４０５号公報
【特許文献２】特開２００６−１４６８９１号後方
【特許文献３】特開２００６−２４３７９１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
ところで、セキュリティポリシーとはアクセス制御ルールの集合であるが、ある特定の計算機がセキュリティポリシーで定義されている全てのアクセス制御ルールを満遍なく利用するという事は稀であり、多くの場合は、セキュリティポリシーの一部しか利用しない。例えば、セキュリティポリシーが、ログインユーザ向け、Ｗｅｂサーバ向け、ＤＢサーバ向け、それぞれに対するアクセス制御ルールを含んでいるとする。この場合、Ｗｅｂサーバとして利用される計算機は、Ｗｅｂサーバ向けのアクセス制御ルールしか利用せず、ＤＢサーバとして利用される計算機は、ＤＢサーバ向けのアクセス制御ルールしか利用しない。
【０００９】
これに対して、特許文献１〜特許文献３に開示された技術では、セキュリティポリシー配布用のサーバは、セキュリティポリシーの一貫性を保つために、クラスタ内の計算機それぞれに対して、セキュリティポリシー全体を配布している。このため、各計算機はセュリティポリシー全体を保持する必要があり、各計算機における負荷が大きいという問題が発生する。
【００１０】
また、特許文献１〜特許文献３に開示された技術では、セキュリィティポリシーの更新の際、各計算機は、セキュリティポリシー全体を再ロードする必要がある。このため、更新処理に時間がかかり過ぎるという問題も発生する。
【００１１】
本発明の目的の一例は、上記問題を解消し、セキュリティポリシーが適用される機器の負荷の低減と、セキュリティポリシーの更新処理の迅速化とを図り得る、セキュリティ管理システム、セキュリティ管理方法、及びプログラムを提供することにある。
【課題を解決するための手段】
【００１２】
上記目的を達成するため、本発明の一側面におけるセキュリティ管理システムは、保持されているデータが有効及び無効のいずれであるかを示すフラグを有するキャッシュを備える、計算機と、
複数のアクセス制御ルールを含むセキュリティポリシーを管理し、且つ、前記計算機からの要求に応じて、前記計算機に対応するアクセス制御ルールを前記計算機に送信する、セキュリティサーバと、
を備え、
前記計算機は、前記フラグが無効を示す場合に、前記セキュリティサーバに、対応するアクセス制御ルールの送信を要求し、そして、前記キャッシュに、前記セキュリティサーバから送信されたアクセス制御ルールを保持し、
前記セキュリティサーバは、前記セキュリティポリシーを更新する場合に、前記計算機に、前記フラグが無効を示すように指示を与える、
ことを特徴とする。
【００１３】
また、上記目的を達成するため、本発明の一側面におけるセキュリティ管理方法は、保持されているデータが有効及び無効のいずれであるかを示すフラグを有するキャッシュを備える計算機と、複数のアクセス制御ルールを含むセキュリティポリシーを管理するセキュリティサーバとを用いる、セキュリティ管理方法であって、
（ａ）前記フラグが無効を示す場合に、前記計算機によって、前記セキュリティサーバに、対応するアクセス制御ルールの送信を要求する、ステップと、
（ｂ）前記セキュリティサーバによって、前記計算機からの要求に応じて、前記計算機に、対応するアクセス制御ルールを送信する、ステップと、
（ｃ）前記計算機によって、前記キャッシュにおいて、前記セキュリティサーバから送信されたアクセス制御ルールを保持する、ステップと、
（ｄ）前記セキュリティサーバによって、前記セキュリティポリシーを更新する場合に、前記計算機に、前記フラグが無効を示すように指示を与える、ステップと、
を有することを特徴とする。
【００１４】
更に、上記目的を達成するため、本発明の一側面における第１のプログラムは、保持されているデータが有効及び無効のいずれであるかを示すフラグを有するキャッシュを備える計算機を対象として、コンピュータによって、複数のアクセス制御ルールを含むセキュリティポリシーの管理を行うためのプログラムであって、
前記コンピュータに、
（ａ）前記フラグが無効を示すことを条件に、前記計算機が、前記セキュリティサーバに、対応するアクセス制御ルールの送信を要求した場合に、前記計算機に対応するアクセス制御ルールを前記計算機に送信し、前記キャッシュに、送信されたアクセス制御ルールを保持させる、ステップと、
（ｂ）前記セキュリティポリシーを更新する場合に、前記計算機に、前記フラグが無効を示すように指示を与える、ステップと、
を実行させることを特徴とする。
【００１５】
また、上記目的を達成するため、本発明の一側面における第２のプログラムは、保持されているデータが有効及び無効のいずれであるかを示すフラグを有するキャッシュを備えたコンピュータにおいて、そのセキュリティを管理するためのプログラムであって、
前記コンピュータに、
（ａ）前記フラグが無効を示す場合に、複数のアクセス制御ルールを含むセキュリティポリシーを管理する前記セキュリティサーバに対して、対応するアクセス制御ルールの送信を要求し、そして、前記キャッシュに、送信されたアクセス制御ルールを保持する、ステップと、
（ｂ）前記セキュリティサーバが、前記フラグが無効を示すように指示を与えた場合に、前記フラグを無効にする、ステップと、
を実行させることを特徴とする。
【発明の効果】
【００１６】
以上のように、本発明における、セキュリティ管理システム、セキュリティ管理方法、及びプログラムによれば、セキュリティポリシーが適用される機器の負荷の低減と、セキュリティポリシーの更新処理の迅速化とを図ることができる。
【図面の簡単な説明】
【００１７】
【図１】図１は、本発明の実施の形態１におけるセキュリティ管理システムの全体構成を示す全体図である。
【図２】図２は、本発明の実施の形態１におけるセキュリティ管理システムのセキュリティサーバ及び計算機それぞれの構成を示すブロック図である。
【図３】図３は、本発明の実施の形態１におけるセキュリティ管理システムのリクエスト要求時の動作を示すフロー図である。
【図４】図４は、本発明の実施の形態１におけるセキュリティ管理システムのセキュリティポリシー更新時の動作を示すフロー図である。
【図５】図５は、本発明の実施の形態２におけるセキュリティ管理システムの全体構成を示す全体図である。
【図６】図６は、本発明の実施の形態３におけるセキュリティ管理システムの全体構成を示す全体図である。
【図７】図７は、本発明の実施の形態１〜３にけるセキュリティサーバ又は計算機を実現するコンピュータの一例を示すブロック図である。
【発明を実施するための形態】
【００１８】
（発明の概要）
本発明では、ある計算機クラスタにおいて、一連の強制アクセス制御ルール（「誰が」「何に」「何をできるか」という組み合わせ）の集合、即ち、セキュリティポリシーを、多数の計算機で共有する場合に、個々の計算機は、セキュリティポリシーの複製全てを持つ必要はない。代わりに、個々の計算機は、セキュリティサーバに対して、個々のアクセス制御ルールの送信を要求し、送信されてきたアクセス制御ルールを各計算機のキャッシュ領域に一時的に保存する。
【００１９】
また、各計算機は、キャッシュのフラグが無効を示す場合（無効化フラグが設定されている場合）に、セキュリティサーバに対して、アクセス制御ルールの送信を求めるように構成されている。従って、セキュリティサーバは、セキュリティポリシーが新しいバージョンに更新された場合には、無効化を指示する指令（invalidation message）を計算機に送出するだけで良く、これにより、計算機は、更新が反映されたアクセス制御ルールの送信を要求する。
【００２０】
このように、本発明では、セキュリティポリシーの複製全てが各計算機に送信されることはなく、そして、アクセス制御ルールはキャッシュにしか保持されないため、計算機における負荷が抑制される。更に、セキュリティポリシーの更新処理は迅速に行われることになる。
【００２１】
また、本発明では、古い状態のアクセス制御ルールを保持したままシステムが動作する事はない。例えば、しばらくシステムがシャットダウン状態だったためにパッケージが最新ではなかった場合でも、計算機は、再起動時には、フラグが無効を示すため、セキュリティサーバに最新のアクセス制御ルールを問い合わせる。このため、新旧のセキュリティポリシーが混在する事態は避けられ、セキュリティサーバと、多数の計算機との間で、自動的にセキュリティポリシーの一貫性が保たれる。結果、セキュリティサーバにおけるポリシー管理の労力が、大きく削減される。
【００２２】
（実施の形態１）
以下、本発明の実施の形態１における、セキュリティ管理システム、セキュリティ管理方法、及びプログラムについて、図１〜図３を参照しながら説明する。
【００２３】
［システム構成］
最初に、図１及び図２を用いて、本実施の形態１におけるセキュリティ管理システム１００の構成について説明する。図１は、本発明の実施の形態１におけるセキュリティ管理システムの全体構成を示す全体図である。図２は、本発明の実施の形態１におけるセキュリティ管理システムのセキュリティサーバ及び計算機それぞれの構成を示すブロック図である。
【００２４】
図１に示すように、本実施の形態１におけるセキュリティ管理システム１００は、強制アクセス制御ポリシーをオンデマンドで配布するシステムであり、セキュリティサーバ１０と、計算機２０とを備えている。セキュリティサーバ１０と計算機２０とは、ＬＡＮなどのネットワークを介して接続されている。
【００２５】
計算機２０は、利用者が使用する端末、各種サーバなど、ネットワークを構成する機器である。図１の例では、３つの計算機２０のみが図示されているが、本実施の形態１において、計算機２０は１台以上であれば良く、計算機２０の数は特に限定されるものではない。
【００２６】
セキュリティサーバ１０は、セキュリティポリシーを管理し、計算機からの要求に応じてアクセス制御ルールを返却する。セキュリティポリシーは、複数のアクセス制御ルールを含んでいる。本実施の形態１においては、「アクセス制御ルール」は、「利用者（の識別子）」、「計算機資源（の識別子）」、「許可または禁止される操作（の識別子）」の組み合わせによって構成されている。なお、どのような識別子を用いるかは、セキュリティモデルに依存する。本実施の形態では、例えば、既存の「ラベル」と呼ばれる機密階層及び機密区分の組み合わせを利用することができる。
【００２７】
また、図２に示すように、計算機２０は、アクセス制御判断部２５と、キャッシュ２６と、ネットワーク通信部２７とを備えている。このうち、ネットワーク通信部２７は、セキュリティサーバ１０との間で通信を行うための通信インターフェイスである。
【００２８】
キャッシュ２６は、保持されているデータが有効及び無効のいずれであるかを示すフラグ２９を有している。アクセス制御判断部２５は、フラグ２９が無効を示す場合に、セキュリティサーバ１０に、対応するアクセス制御ルールの送信を要求する。そして、アクセス制御判断部２５は、キャッシュ２６に、セキュリティサーバ１０から送信されたアクセス制御ルール２８を格納し、これを保持させる。
【００２９】
更に、図２に示すように、セキュリティサーバ１０は、セキュリティサーバ応答部１１と、セキュリティポリシー格納部１２と、セキュリティポリシーロード部１３と、ネットワーク通信部１４とを備えている。このうち、ネットワーク通信部１４は、計算機２０との間で通信を行うための通信インターフェイスである。セキュリティポリシー格納部１２は、多数のアクセス制御ルールで構成されたセキュリティポリシーを格納している。
【００３０】
セキュリティサーバ応答部１１は、計算機２０からの要求に応じて、セキュリティポリシー格納部１２を検索し、要求を行った計算機２０に対応するアクセス制御ルールを特定する。そして、セキュリティサーバ応答部１１は、ネットワーク通信部１４を介して、特定したアクセス制御ルールを、要求を行った計算機２０に送信する。
【００３１】
また、セキュリティポリシーロード部１３は、セキュリティポリシー格納部１２に格納されているセキュリティポリシーを更新する。更に、セキュリティポリシーロード部１３は、セキュリティポリシーを更新する場合、ネットワーク通信部１４を介して、各計算機２０に、フラグ２９が無効を示すように指示を送出する。この結果、各計算機２０は、新しいアクセス制御ルールの送信を要求するため、アクセス制御ルールが更新される。
【００３２】
このように、セキュリティ管理システム１００では、セキュリティポリシーの複製全てが各計算機２０に送信されることはない。また、アクセス制御ルール２８は、各計算機２０のキャッシュ２６に保持されるだけである。このため、計算機２０における負荷が抑制される。更に、セキュリティポリシーの更新処理は迅速に行われる。
【００３３】
ここで、計算機２０の構成について更に具体的に説明する。本実施の形態２では、計算機２０は、計算機カーネル部２１を備えている。計算機カーネル部２１は、計算機２０にインプリメントされたＯＳによって構築されている。更に、計算機カーネル部２１は、利用者リクエスト処理部２２と、計算機資源２３と、アクセス制御部２４とを備えている。
【００３４】
アクセス制御部２４は、先に述べた、アクセス制御判断部２５、キャッシュ２６、及びネットワーク通信部２７を備えている。キャッシュ２６は、計算機２０を構成するメモリ、又は計算機２０のプロセッサに設けられたキャッシュメモリ等によって実現されている。
【００３５】
計算機資源２３は、計算機２０によって管理されている、各種ファイル、ネットワークに接続するための情報等である。計算機２０の利用者３０は、計算機資源２３を利用するため、例えば、Ｗｅｂブラウザ等が提供する入力画面を介してリクエストを入力する。これにより、利用者リクエストが発行され、これが利用者リクエスト処理部２２に入力される。利用者リクエスト処理部２２は、利用者リクエストを受け付け、処理を行う。
【００３６】
具体的には、利用者リクエスト処理部２２は、先ず、アクセス制御部２４に対して、利用者３０のリクエストの実行可否を問い合わせる。このとき、アクセス制御判断部２５は、キャッシュに保持されているアクセス制御ルール２８に基づき、当該リクエストに対して、「許可」又は「禁止」の意思決定を行い、結果を返却する。
【００３７】
そして、利用者リクエスト処理部２２は、返却された結果が「許可」である場合は、計算機資源２３にアクセスし、アクセスによって得られた結果を利用者３０に返却する。一方、利用者リクエスト処理部２２は、返却された結果が「禁止」である場合は、それ以上処理を実行せず、利用者３０にエラーを返却する。
【００３８】
このように、計算機２０は、キャッシュ２６に保持されているアクセス制御ルール２８に従って、利用者３０による操作に対して制限を与えることができ、セキュリティが確保されることになる。
【００３９】
［システム動作］
次に、本発明の実施の形態１におけるセキュリティ管理システム１００の動作について図３及び図４を用いて説明する。以下の説明においては、適宜図１及び図２を参酌する。また、本実施の形態１では、セキュリティ管理システム１００を動作させることによって、セキュリティ管理方法が実施される。よって、本実施の形態におけるセキュリティ管理方法の説明は、以下のセキュリティ管理システム１００の動作説明に代える。
【００４０】
最初に、図３を用いて、利用者３０からリクエストが要求された場合の処理について説明する。図３は、本発明の実施の形態１におけるセキュリティ管理システムのリクエスト要求時の動作を示すフロー図である。
【００４１】
先ず、利用者３０が、入力画面からリクエストを要求すると、利用者リクエストが発行される。そして、図３に示すように、利用者リクエスト処理部２２が、利用者リクエストを受け付ける（ステップＡ１）。また、利用者リクエスト処理部２２は、アクセス制御部２４に対して、利用者リクエストの実行可否を問い合わせる。
【００４２】
次に、利用者リクエスト処理部２２によって、利用者リクエストの実行可否が問い合わせられると、アクセス制御判断部２５は、キャッシュ２６のフラグ２９が有効を示しているかどうかを確認する（ステップＡ２）。
【００４３】
ステップＡ２の確認の結果、フラグ２９が有効を示していない場合、即ち、無効化フラグがセットされている場合は、アクセス制御判断部２５は、キャッシュ２６に保持されているデータの内容を全て消去し、無効化フラグをクリアする（ステップＡ５）。初期状態では、キャッシュ２６のフラグ２９は無効を示すようにセットされている（無効化フラグがセットされている）。その後、ステップＡ６以降が実行される。ステップＡ６以降については後述する。
【００４４】
一方、ステップＡ２の確認の結果、フラグ２９が有効を示している場合は、アクセス制御判断部２５は、アクセス制御ルールがキャッシュ２６に存在しているかどうかを確認する（ステップＡ３）。
【００４５】
ステップＡ３の確認の結果、アクセス制御ルールがキャッシュ２６に存在している場合は、アクセス制御判断部２５は、そのアクセス制御ルール２８を用いて、利用者リクエストを許可するかどうかを判定する（ステップＡ４）。そして、アクセス制御判断部２５は、判定結果を、利用者リクエスト処理部２２に送る。
【００４６】
その後、利用者リクエスト処理部２２は、返却された結果が「許可」である場合は、計算機資源２３にアクセスし、アクセスによって得られた結果を利用者３０に返却する。一方、利用者リクエスト処理部２２は、返却された結果が「禁止」である場合は、それ以上処理を実行せず、利用者３０にエラーを返却する。
【００４７】
一方、ステップＡ３の確認の結果、アクセス制御ルールがキャッシュ２６に存在していない場合は、ステップＡ６以降が実行される。
【００４８】
ステップＡ６では、キャッシュ２６のフラグは無効を示しているため、アクセス制御判断部２５は、ネットワーク通信部２７を介して、セキュリティサーバ１０に、対応するアクセス制御ルールの送信を要求する。
【００４９】
次に、セキュリティサーバ１０において、セキュリティサーバ応答部１１は、計算機２０からの要求に応じて、セキュリティポリシー格納部を１２検索して、要求を行った計算機２０に対応するアクセス制御ルールを特定する。そして、セキュリティサーバ応答部１１は、ネットワーク通信部１４を介して、特定したアクセス制御ルールを、要求を行った計算機２０に送信する（ステップＡ７）。
【００５０】
次に、アクセス制御判断部２５は、ネットワーク通信部２７を介してアクセス制御ルールを受信する。そして、アクセス制御判断部２５は、受信したアクセス制御ルール２８をキャッシュ２６に書き込み、これを保持させる（ステップＡ８）。また、ステップＡ８が実行された場合も、ステップＡ４が実行され、判定結果が、利用者リクエスト処理部２２に送られる。
【００５１】
このように、本実施の形態１では、各計算機２０がセキュリティポリシーの複製を持つことなく、アクセス制御の意思決定が行われる。このため、計算機２０に発生する負荷が低減される。また、キャッシュ２６に無効化フラグがセットされると、計算機２０は、亜アクセス制御ルールを要求するため、セキュリティポリシーの一貫性も保たれることになる。
【００５２】
続いて、図４を用いて、セキュリティサーバ１０において、セキュリティポリシーが更新された場合の処理について説明する。図４は、本発明の実施の形態１におけるセキュリティ管理システムのセキュリティポリシー更新時の動作を示すフロー図である。
【００５３】
図４に示すように、先ず、セキュリティサーバ１０において、セキュリティポリシーロード部１３が、セキュリティポリシー格納部１２に格納されているセキュリティポリシーを新しいバージョンへと更新する（ステップＢ１）。
【００５４】
次に、セキュリティポリシーロード部１３は、ネットワーク通信部１４を介して、各計算機２０に、メッセージを送出し、各計算機２０のキャッシュ２６に無効化フラグをセットさせる（ステップＢ２）。
【００５５】
次に、キャッシュ２６に無効化フラグがセットされているため、アクセス制御判断部２５は、ネットワーク通信部２７を介して、セキュリティサーバ１０に、対応するアクセス制御ルールの送信を要求する（ステップＢ３）。ステップＢ３は、図３に示したステップＡ６と同様のステップである。
【００５６】
次に、セキュリティサーバ１０において、セキュリティサーバ応答部１１は、計算機２０からの要求に応じて、要求を行った計算機２０に対応するアクセス制御ルールを特定し、特定したアクセス制御ルールを、要求を行った計算機２０に送信する（ステップＢ４）。ステップＢ４は、図３に示したステップＡ７と同様の処理である。
【００５７】
その後、計算機２０において、アクセス制御判断部２５は、アクセス制御ルールを受信し、受信したアクセス制御ルール２８をキャッシュ２６に書き込み、これを保持させる（ステップＢ５）。ステップＢ５は、図３に示したステップＡ８と同様の処理である。
【００５８】
このように、本実施の形態１では、ステップＢ１〜Ｂ５の処理により、アクセス制御ルールの更新が完了する。この場合において、セキュリティサーバ１０は、無効化フラグをセットする旨のメッセージを送出するだけで良く、また、セキュリティポリシーの複製がそのまま転送されることはないため、更新は非常に短い時間で完了する。
【００５９】
本発明の実施の形態１における第１のプログラムは、コンピュータに、図３に示すステップＡ７、図４に示すステップＢ１、Ｂ２、Ｂ４を実行させるプログラムであれば良い。この第１のプログラムをコンピュータにインストールし、実行することによって、本実施の形態１におけるセキュリティサーバ１０を実現することができる。この場合、コンピュータのＣＰＵ（Central Processing Unit）は、セキュリティサーバ応答部１１、及びセキュリティポリシーロード部１３として機能し、処理を行なう。また、コンピュータに備えられたハードディスク等の記憶装置は、セキュリティポリシー格納部１２として機能する。
【００６０】
また、本発明の実施の形態１における第２のプログラムは、コンピュータに、図３に示すステップＡ１〜Ａ６、Ａ８、図４に示すステップＢ３、Ｂ５を実行させるプログラムであれば良い。この第２のプログラムをコンピュータにインストールし、実行することによって、本実施の形態１における計算機２０を実現することができる。この場合、コンピュータのＣＰＵは、利用者リクエスト処理部２２、及びアクセス制御判断部２５として機能し、処理を行なう。
【００６１】
（実施の形態２）
次に本発明の実施の形態２における、セキュリティ管理システム、セキュリティ管理方法、及びプログラムについて、図５を参照しながら説明する。図５は、本発明の実施の形態２におけるセキュリティ管理システムの全体構成を示す全体図である。
【００６２】
図５に示すように、本実施の形態２におけるセキュリティ管理システム１０１は、セキュリティサーバとして、プライマリセキュリティサーバ４０とセカンダリセキュリティサーバ４１との２台を備えている。
【００６３】
セカンダリセキュリティサーバ４１は、起動時及びセキュリティポリシーの更新時に、プライマリセキュリティサーバ４０から同期的にセキュリティポリシーの複製を受け取る。なお、この場合のセキュリティポリシーの複製の受け取りは、従来から転送技術を用いて行われ、セキュリティポリシー全体がセカンダリセキュリティサーバ４１に転送される。
【００６４】
各計算機２０は、実施の形態１において図２に示した計算機と同様に構成されている。但し、本実施の形態２では、各計算機２０は、任意のセキュリティサーバを選択し、選択したセキュリティサーバに対して、アクセス制御ルールの送信を要求することができる。例えば、現在、計算機２０が接続しているセキュリティサーバが何らかの障害でダウンした場合は、計算機２０は、次候補のセキュリティサーバに接続して、アクセス制御ルールの送信を要求することができる。
【００６５】
本実施の形態２によれば、セキュリティサーバの冗長性を確保でき、可用性を高める事ができる。また、同時に、複数のセキュリティサーバが用いられるため、計算機２０の数が非常に大きくなった場合は、負荷の分散を行なうことも可能となる。
【００６６】
（実施の形態３）
次に本発明の実施の形態３における、セキュリティ管理システム、セキュリティ管理方法、及びプログラムについて、図６を参照しながら説明する。図６は、本発明の実施の形態３におけるセキュリティ管理システムの全体構成を示す全体図である。
【００６７】
図６に示すように、本実施の形態３においては、セキュリティサーバ５０には、「秘密鍵」がインストールされており、各計算機２０には、「公開鍵」がインストールされている。また、秘密鍵と公開鍵は対になっており、公開鍵によって暗号化されたデータを秘密鍵によって復号する事ができる。
【００６８】
そして、本実施の形態３では、計算機２０は、セキュリティサーバ５０に接続する際に、ランダムに生成したワンタイム共有鍵を、公開鍵を用いて暗号化する。更に、計算機２０は、暗号化したワンタイム共有鍵をセキュリティサーバ５０に送信する。
【００６９】
また、セキュリティサーバ５０は、秘密鍵を用いて、ワンタイム共有鍵を復号化する。そして、これ以降、セキュリティサーバ５０は、計算機２０のリクエストに応じてアクセス制御ルールを返却する際には、ワンタイム共有鍵を用いてメッセージダイジェストを生成し、これをアクセス制御ルールに付加する。
【００７０】
また、各計算機２０は、アクセス制御ルールを受け取ると、ワンタイム共有鍵を用いて、メッセージダイジェストを生成し、生成したメッセージダイジェストと、アクセス制御ルールに付加されたメッセージダイジェストとが一致するかどうかを確認する。そして、各計算計２０は、一致する場合にのみ、送信されてきたアクセス制御ルールをキャッシュに書き込む。
【００７１】
このように、本実施の形態３におけるセキュリティ管理システム１０２によれば、通信経路上での改ざんの有無を確認する事ができることから、よりいっそうセキュリティの向上が図れられる。
【００７２】
ここで、実施の形態１〜３におけるプログラムを実行することによって、セキュリティサーバ又は計算機を実現するコンピュータについて図を用いて説明する。図７は、本発明の実施の形態１〜３にけるセキュリティサーバ又は計算機を実現するコンピュータの一例を示すブロック図である。
【００７３】
図７に示すように、コンピュータ１１０は、ＣＰＵ１１１と、メインメモリ１１２と、記憶装置１１３と、入力インターフェイス１１４と、表示コントローラ１１５と、データリーダ／ライタ１１６と、通信インターフェイス１１７とを備える。これらの各部は、バス１２１を介して、互いにデータ通信可能に接続される。
【００７４】
ＣＰＵ１１１は、記憶装置１１３に格納された、本実施の形態におけるプログラム（コード）をメインメモリ１１２に展開し、これらを所定順序で実行することにより、各種の演算を実施する。メインメモリ１１２は、典型的には、ＤＲＡＭ（Dynamic Random Access Memory）等の揮発性の記憶装置である。また、本実施の形態におけるプログラムは、コンピュータ読み取り可能な記録媒体１２０に格納された状態で提供される。なお、本実施の形態におけるプログラムは、通信インターフェイス１１７を介して接続されたインターネット上で流通するものであっても良い。
【００７５】
また、記憶装置１１３の具体例としては、ハードディスクの他、フラッシュメモリ等の半導体記憶装置が挙げられる。入力インターフェイス１１４は、ＣＰＵ１１１と、キーボード及びマウスといった入力機器１１８との間のデータ伝送を仲介する。表示コントローラ１１５は、ディスプレイ装置１１９と接続され、ディスプレイ装置１１９での表示を制御する。データリーダ／ライタ１１６は、ＣＰＵ１１１と記録媒体１２０との間のデータ伝送を仲介し、記録媒体１２０からのプログラムの読み出し、及びコンピュータ１１０における処理結果の記録媒体１２０への書き込みを実行する。通信インターフェイス１１７は、ＣＰＵ１１１と、他のコンピュータとの間のデータ伝送を仲介する。
【００７６】
また、記録媒体１２０の具体例としては、ＣＦ（Compact Flash）及びＳＤ（Secure Digital）等の汎用的な半導体記憶デバイス、フレキシブルディスク（Flexible Disk）等の磁気記憶媒体、又はＣＤ−ＲＯＭ（Compact Disk Read Only Memory）などの光学記憶媒体が挙げられる。
【００７７】
上述した実施の形態の一部又は全部は、以下に記載する（付記１）〜（付記１２）によって表現することができるが、以下の記載に限定されるものではない。
【００７８】
（付記１）
保持されているデータが有効及び無効のいずれであるかを示すフラグを有するキャッシュを備える、計算機と、
複数のアクセス制御ルールを含むセキュリティポリシーを管理し、且つ、前記計算機からの要求に応じて、前記計算機に対応するアクセス制御ルールを前記計算機に送信する、セキュリティサーバと、
を備え、
前記計算機は、前記フラグが無効を示す場合に、前記セキュリティサーバに、対応するアクセス制御ルールの送信を要求し、そして、前記キャッシュに、前記セキュリティサーバから送信されたアクセス制御ルールを保持し、
前記セキュリティサーバは、前記セキュリティポリシーを更新する場合に、前記計算機に、前記フラグが無効を示すように指示を与える、
ことを特徴とする、セキュリティ管理システム。
【００７９】
（付記２）
前記計算機が、更に、前記キャッシュが前記アクセス制御ルールを保持していない場合にも、前記セキュリティサーバに、対応するアクセス制御ルールの送信を要求する、請求項１に記載のセキュリティ管理システム。
【００８０】
（付記３）
前記計算機が、外部から、前記計算機が備える計算機資源の利用が求められると、
前記フラグが有効であるかどうか、及び前記キャッシュが前記アクセス制御ルールを保持しているかどうかを判定し、
前記フラグが有効であり、且つ、前記キャッシュが前記アクセス制御ルールを保持している場合に、前記アクセス制御ルールに基づいて、前記利用を許可するかどうかを判断する、請求項１又は２に記載のセキュリティ管理システム。
【００８１】
（付記４）
複数のセキュリティサーバが備えられ、前記複数のセキュリティサーバは、それぞれ、同一のセキュリティポリシーを管理しており、
前記計算機は、前記複数のセキュリティサーバのいずれかに対して、前記対応するアクセス制御ルールの送信を要求する、請求項１〜３のいずれかに記載のセキュリティ管理システム。
【００８２】
（付記５）
前記セキュリティサーバが、送信対象となる前記アクセス制御ルールに、前記計算機から予め受け取ったワンタイム公開鍵を用いて生成したメッセージダイジェストを付加し、
前記計算機が、前記ワンタイム公開鍵によってメッセージダイジェストを生成し、生成したメッセージダイジェストと、前記セキュリティサーバが付加したメッセージダイジェストとが一致する場合に、前記アクセス制御ルールを前記キャッシュに保持させる、
請求項１〜４のいずれかに記載のセキュリティ管理システム。
【００８３】
（付記６）
保持されているデータが有効及び無効のいずれであるかを示すフラグを有するキャッシュを備える計算機と、複数のアクセス制御ルールを含むセキュリティポリシーを管理するセキュリティサーバとを用いる、セキュリティ管理方法であって、
（ａ）前記フラグが無効を示す場合に、前記計算機によって、前記セキュリティサーバに、対応するアクセス制御ルールの送信を要求する、ステップと、
（ｂ）前記セキュリティサーバによって、前記計算機からの要求に応じて、前記計算機に、対応するアクセス制御ルールを送信する、ステップと、
（ｃ）前記計算機によって、前記キャッシュにおいて、前記セキュリティサーバから送信されたアクセス制御ルールを保持する、ステップと、
（ｄ）前記セキュリティサーバによって、前記セキュリティポリシーを更新する場合に、前記計算機に、前記フラグが無効を示すように指示を与える、ステップと、
を有することを特徴とする、セキュリティ管理方法。
【００８４】
（付記７）
（ｅ）前記キャッシュが前記アクセス制御ルールを保持していない場合に、前記計算機によって、前記セキュリティサーバに、対応するアクセス制御ルールの送信を要求する、ステップを更に有する、請求項６に記載のセキュリティ管理方法。
【００８５】
（付記８）
（ｆ）外部から、前記計算機が備える計算機資源の利用が求められると、前記計算機によって、前記フラグが有効であるかどうか、及び前記キャッシュが前記アクセス制御ルールを保持しているかどうかを判定し、前記フラグが有効であり、且つ、前記キャッシュが前記アクセス制御ルールを保持している場合に、前記アクセス制御ルールに基づいて、前記利用を許可するかどうかを判断する、請求項７に記載のセキュリティ管理方法。
【００８６】
（付記９）
複数のセキュリティサーバが備えられ、前記複数のセキュリティサーバは、それぞれ、同一のセキュリティポリシーを管理している場合に、
前記（ａ）のステップにおいて、前記計算機は、前記複数のセキュリティサーバのいずれかに対して、前記対応するアクセス制御ルールの送信を要求する、請求項６〜８のいずれかに記載のセキュリティ管理方法。
【００８７】
（付記１０）
（ｇ）前記セキュリティサーバによって、送信対象となる前記アクセス制御ルールに、前記計算機から予め受け取ったワンタイム公開鍵を用いて生成したメッセージダイジェストを付加する、ステップを更に有し、
前記（ｃ）のステップにおいて、前記計算機が、前記ワンタイム公開鍵によってメッセージダイジェストを生成し、生成したメッセージダイジェストと、前記セキュリティサーバが付加したメッセージダイジェストとが一致する場合に、前記アクセス制御ルールを前記キャッシュに保持させる、
請求項６〜９のいずれかに記載のセキュリティ管理方法。
【００８８】
（付記１１）
保持されているデータが有効及び無効のいずれであるかを示すフラグを有するキャッシュを備える計算機を対象として、コンピュータによって、複数のアクセス制御ルールを含むセキュリティポリシーの管理を行うためのプログラムであって、
前記コンピュータに、
（ａ）前記フラグが無効を示すことを条件に、前記計算機が、前記セキュリティサーバに、対応するアクセス制御ルールの送信を要求した場合に、前記計算機に対応するアクセス制御ルールを前記計算機に送信し、前記キャッシュに、送信されたアクセス制御ルールを保持させる、ステップと、
（ｂ）前記セキュリティポリシーを更新する場合に、前記計算機に、前記フラグが無効を示すように指示を与える、ステップと、
を実行させるプログラム。
【００８９】
（付記１２）
保持されているデータが有効及び無効のいずれであるかを示すフラグを有するキャッシュを備えたコンピュータにおいて、そのセキュリティを管理するためのプログラムであって、
前記コンピュータに、
（ａ）前記フラグが無効を示す場合に、複数のアクセス制御ルールを含むセキュリティポリシーを管理する前記セキュリティサーバに対して、対応するアクセス制御ルールの送信を要求し、そして、前記キャッシュに、送信されたアクセス制御ルールを保持する、ステップと、
（ｂ）前記セキュリティサーバが、前記フラグが無効を示すように指示を与えた場合に、前記フラグを無効にする、ステップと、
を実行させるプログラム。
【産業上の利用可能性】
【００９０】
以上のように、本発明によれば、セキュリティポリシーが適用される計算機の負荷の低減と、セキュリティポリシーの更新処理の迅速化とを図ることができる。本発明は、非常に多くの計算機ノードを含むクラスタ環境下で、各計算機に適用されるセキュリティポリシーの集中管理が求められるシステムに有用である。
【符号の説明】
【００９１】
１０ セキュリティサーバ（実施の形態１）
１１ セキュリティサーバ応答部
１２ セキュリティポリシー格納部１２
１３ セキュリティポリシーロード部
１４ ネットワーク通信部
２０ 計算機
２１ 計算機カーネル部
２２ 利用者リクエスト処理部
２３ 計算機資源
２４ アクセス制御部
２５ アクセス制御判断部
２６ キャッシュ
２７ ネットワーク通信部
２８ アクセス制御ルール
２９ フラグ
３０ 利用者
４０ プライマリセキュリティサーバ（実施の形態２）
４１ セカンダリセキュリティサーバ（実施の形態２）
５０ セキュリティサーバ（実施の形態３）
１００ セキュリティ管理システム（実施の形態１）
１０１ セキュリティ管理システム（実施の形態２）
１０２ セキュリティ管理システム（実施の形態３）
１１０ コンピュータ
１１１ ＣＰＵ
１１２ メインメモリ
１１３ 記憶装置
１１４ 入力インターフェイス
１１５ 表示コントローラ
１１６ データリーダ／ライタ
１１７ 通信インターフェイス
１１８ 入力機器
１１９ ディスプレイ装置
１２０ 記録媒体
１２１ バス
【技術分野】
【０００１】
本発明は、セキュリティ管理システム、セキュリティ管理方法、及びプログラムに関する。
【背景技術】
【０００２】
従来から、一部のＯＳ（Operating System）には、強制アクセス制御が組み込まれている。ＯＳの強制アクセス制御は、正当な権限無しでは情報資産を参照及び更新できないようにできるため、システムのセキュリティを保全する上で、非常に有益な機能である。とりわけ、多数の利用者が共有の計算機資源を利用する環境、典型的には「SaaS」または「PaaS」と呼ばれる環境においては、強制アクセス制御を用いることにより、効果的に情報資産へのアクセスの正当性を担保する事ができる。
【０００３】
また、強制アクセス制御メカニズムを正しく動作させるためには、誰にどのような操作を許可または禁止させるかを記述した「セキュリティポリシー」が正しく設定されている必要がある。更に、一台の計算機で運用する場合とは異なり、多数の計算機から成るクラスタで強制アクセス制御メカニズムを利用する際には、これら計算機の間でセキュリティポリシーの一貫性を少ない労力で保持することも必要となる。
【０００４】
このような要求に対応するため、Yum(Yellowdog Updater Modified)、又はApt(Advanced Packaging Took)といった、パッケージ管理ツールを用いた方法が採用されている。このような方法では、パッケージ管理ツールによって、セキュリティポリシーを含むパッケージが更新され、更に、クラスタ内の計算機全体にセキュリティポリシーが配布される。
【０００５】
但し、上記の方法では、クラスタ内の各計算機の間でパッケージを更新するタイミングを同期することが難しいという問題がある。このため、場合によっては、クラスタ内の一部の計算機では最新のセキュリティポリシーが適用されているものの、それ以外の計算機では古いセキュリティポリシーが適用されているといった、危険な状態が発生する可能性がある。
【０００６】
このような問題を解決するため、セキュリティポリシー配布用のサーバを設置し、このサーバからクラスタ内の各計算機にセキュリティポリシーを配布する技術が提案されている（例えば、特許文献１、特許文献２、及び特許文献３参照。）。また、特許文献１〜３に開示された技術では、配布されるセキュリティポリシーに対して、場合によっては、計算機に応じたカスタマイズが加える場合もある。特許文献１〜３に開示された技術によれば、上述の要求に対応しつつ、上記の問題を解決することができると考えられる。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００４−０９４４０５号公報
【特許文献２】特開２００６−１４６８９１号後方
【特許文献３】特開２００６−２４３７９１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
ところで、セキュリティポリシーとはアクセス制御ルールの集合であるが、ある特定の計算機がセキュリティポリシーで定義されている全てのアクセス制御ルールを満遍なく利用するという事は稀であり、多くの場合は、セキュリティポリシーの一部しか利用しない。例えば、セキュリティポリシーが、ログインユーザ向け、Ｗｅｂサーバ向け、ＤＢサーバ向け、それぞれに対するアクセス制御ルールを含んでいるとする。この場合、Ｗｅｂサーバとして利用される計算機は、Ｗｅｂサーバ向けのアクセス制御ルールしか利用せず、ＤＢサーバとして利用される計算機は、ＤＢサーバ向けのアクセス制御ルールしか利用しない。
【０００９】
これに対して、特許文献１〜特許文献３に開示された技術では、セキュリティポリシー配布用のサーバは、セキュリティポリシーの一貫性を保つために、クラスタ内の計算機それぞれに対して、セキュリティポリシー全体を配布している。このため、各計算機はセュリティポリシー全体を保持する必要があり、各計算機における負荷が大きいという問題が発生する。
【００１０】
また、特許文献１〜特許文献３に開示された技術では、セキュリィティポリシーの更新の際、各計算機は、セキュリティポリシー全体を再ロードする必要がある。このため、更新処理に時間がかかり過ぎるという問題も発生する。
【００１１】
本発明の目的の一例は、上記問題を解消し、セキュリティポリシーが適用される機器の負荷の低減と、セキュリティポリシーの更新処理の迅速化とを図り得る、セキュリティ管理システム、セキュリティ管理方法、及びプログラムを提供することにある。
【課題を解決するための手段】
【００１２】
上記目的を達成するため、本発明の一側面におけるセキュリティ管理システムは、保持されているデータが有効及び無効のいずれであるかを示すフラグを有するキャッシュを備える、計算機と、
複数のアクセス制御ルールを含むセキュリティポリシーを管理し、且つ、前記計算機からの要求に応じて、前記計算機に対応するアクセス制御ルールを前記計算機に送信する、セキュリティサーバと、
を備え、
前記計算機は、前記フラグが無効を示す場合に、前記セキュリティサーバに、対応するアクセス制御ルールの送信を要求し、そして、前記キャッシュに、前記セキュリティサーバから送信されたアクセス制御ルールを保持し、
前記セキュリティサーバは、前記セキュリティポリシーを更新する場合に、前記計算機に、前記フラグが無効を示すように指示を与える、
ことを特徴とする。
【００１３】
また、上記目的を達成するため、本発明の一側面におけるセキュリティ管理方法は、保持されているデータが有効及び無効のいずれであるかを示すフラグを有するキャッシュを備える計算機と、複数のアクセス制御ルールを含むセキュリティポリシーを管理するセキュリティサーバとを用いる、セキュリティ管理方法であって、
（ａ）前記フラグが無効を示す場合に、前記計算機によって、前記セキュリティサーバに、対応するアクセス制御ルールの送信を要求する、ステップと、
（ｂ）前記セキュリティサーバによって、前記計算機からの要求に応じて、前記計算機に、対応するアクセス制御ルールを送信する、ステップと、
（ｃ）前記計算機によって、前記キャッシュにおいて、前記セキュリティサーバから送信されたアクセス制御ルールを保持する、ステップと、
（ｄ）前記セキュリティサーバによって、前記セキュリティポリシーを更新する場合に、前記計算機に、前記フラグが無効を示すように指示を与える、ステップと、
を有することを特徴とする。
【００１４】
更に、上記目的を達成するため、本発明の一側面における第１のプログラムは、保持されているデータが有効及び無効のいずれであるかを示すフラグを有するキャッシュを備える計算機を対象として、コンピュータによって、複数のアクセス制御ルールを含むセキュリティポリシーの管理を行うためのプログラムであって、
前記コンピュータに、
（ａ）前記フラグが無効を示すことを条件に、前記計算機が、前記セキュリティサーバに、対応するアクセス制御ルールの送信を要求した場合に、前記計算機に対応するアクセス制御ルールを前記計算機に送信し、前記キャッシュに、送信されたアクセス制御ルールを保持させる、ステップと、
（ｂ）前記セキュリティポリシーを更新する場合に、前記計算機に、前記フラグが無効を示すように指示を与える、ステップと、
を実行させることを特徴とする。
【００１５】
また、上記目的を達成するため、本発明の一側面における第２のプログラムは、保持されているデータが有効及び無効のいずれであるかを示すフラグを有するキャッシュを備えたコンピュータにおいて、そのセキュリティを管理するためのプログラムであって、
前記コンピュータに、
（ａ）前記フラグが無効を示す場合に、複数のアクセス制御ルールを含むセキュリティポリシーを管理する前記セキュリティサーバに対して、対応するアクセス制御ルールの送信を要求し、そして、前記キャッシュに、送信されたアクセス制御ルールを保持する、ステップと、
（ｂ）前記セキュリティサーバが、前記フラグが無効を示すように指示を与えた場合に、前記フラグを無効にする、ステップと、
を実行させることを特徴とする。
【発明の効果】
【００１６】
以上のように、本発明における、セキュリティ管理システム、セキュリティ管理方法、及びプログラムによれば、セキュリティポリシーが適用される機器の負荷の低減と、セキュリティポリシーの更新処理の迅速化とを図ることができる。
【図面の簡単な説明】
【００１７】
【図１】図１は、本発明の実施の形態１におけるセキュリティ管理システムの全体構成を示す全体図である。
【図２】図２は、本発明の実施の形態１におけるセキュリティ管理システムのセキュリティサーバ及び計算機それぞれの構成を示すブロック図である。
【図３】図３は、本発明の実施の形態１におけるセキュリティ管理システムのリクエスト要求時の動作を示すフロー図である。
【図４】図４は、本発明の実施の形態１におけるセキュリティ管理システムのセキュリティポリシー更新時の動作を示すフロー図である。
【図５】図５は、本発明の実施の形態２におけるセキュリティ管理システムの全体構成を示す全体図である。
【図６】図６は、本発明の実施の形態３におけるセキュリティ管理システムの全体構成を示す全体図である。
【図７】図７は、本発明の実施の形態１〜３にけるセキュリティサーバ又は計算機を実現するコンピュータの一例を示すブロック図である。
【発明を実施するための形態】
【００１８】
（発明の概要）
本発明では、ある計算機クラスタにおいて、一連の強制アクセス制御ルール（「誰が」「何に」「何をできるか」という組み合わせ）の集合、即ち、セキュリティポリシーを、多数の計算機で共有する場合に、個々の計算機は、セキュリティポリシーの複製全てを持つ必要はない。代わりに、個々の計算機は、セキュリティサーバに対して、個々のアクセス制御ルールの送信を要求し、送信されてきたアクセス制御ルールを各計算機のキャッシュ領域に一時的に保存する。
【００１９】
また、各計算機は、キャッシュのフラグが無効を示す場合（無効化フラグが設定されている場合）に、セキュリティサーバに対して、アクセス制御ルールの送信を求めるように構成されている。従って、セキュリティサーバは、セキュリティポリシーが新しいバージョンに更新された場合には、無効化を指示する指令（invalidation message）を計算機に送出するだけで良く、これにより、計算機は、更新が反映されたアクセス制御ルールの送信を要求する。
【００２０】
このように、本発明では、セキュリティポリシーの複製全てが各計算機に送信されることはなく、そして、アクセス制御ルールはキャッシュにしか保持されないため、計算機における負荷が抑制される。更に、セキュリティポリシーの更新処理は迅速に行われることになる。
【００２１】
また、本発明では、古い状態のアクセス制御ルールを保持したままシステムが動作する事はない。例えば、しばらくシステムがシャットダウン状態だったためにパッケージが最新ではなかった場合でも、計算機は、再起動時には、フラグが無効を示すため、セキュリティサーバに最新のアクセス制御ルールを問い合わせる。このため、新旧のセキュリティポリシーが混在する事態は避けられ、セキュリティサーバと、多数の計算機との間で、自動的にセキュリティポリシーの一貫性が保たれる。結果、セキュリティサーバにおけるポリシー管理の労力が、大きく削減される。
【００２２】
（実施の形態１）
以下、本発明の実施の形態１における、セキュリティ管理システム、セキュリティ管理方法、及びプログラムについて、図１〜図３を参照しながら説明する。
【００２３】
［システム構成］
最初に、図１及び図２を用いて、本実施の形態１におけるセキュリティ管理システム１００の構成について説明する。図１は、本発明の実施の形態１におけるセキュリティ管理システムの全体構成を示す全体図である。図２は、本発明の実施の形態１におけるセキュリティ管理システムのセキュリティサーバ及び計算機それぞれの構成を示すブロック図である。
【００２４】
図１に示すように、本実施の形態１におけるセキュリティ管理システム１００は、強制アクセス制御ポリシーをオンデマンドで配布するシステムであり、セキュリティサーバ１０と、計算機２０とを備えている。セキュリティサーバ１０と計算機２０とは、ＬＡＮなどのネットワークを介して接続されている。
【００２５】
計算機２０は、利用者が使用する端末、各種サーバなど、ネットワークを構成する機器である。図１の例では、３つの計算機２０のみが図示されているが、本実施の形態１において、計算機２０は１台以上であれば良く、計算機２０の数は特に限定されるものではない。
【００２６】
セキュリティサーバ１０は、セキュリティポリシーを管理し、計算機からの要求に応じてアクセス制御ルールを返却する。セキュリティポリシーは、複数のアクセス制御ルールを含んでいる。本実施の形態１においては、「アクセス制御ルール」は、「利用者（の識別子）」、「計算機資源（の識別子）」、「許可または禁止される操作（の識別子）」の組み合わせによって構成されている。なお、どのような識別子を用いるかは、セキュリティモデルに依存する。本実施の形態では、例えば、既存の「ラベル」と呼ばれる機密階層及び機密区分の組み合わせを利用することができる。
【００２７】
また、図２に示すように、計算機２０は、アクセス制御判断部２５と、キャッシュ２６と、ネットワーク通信部２７とを備えている。このうち、ネットワーク通信部２７は、セキュリティサーバ１０との間で通信を行うための通信インターフェイスである。
【００２８】
キャッシュ２６は、保持されているデータが有効及び無効のいずれであるかを示すフラグ２９を有している。アクセス制御判断部２５は、フラグ２９が無効を示す場合に、セキュリティサーバ１０に、対応するアクセス制御ルールの送信を要求する。そして、アクセス制御判断部２５は、キャッシュ２６に、セキュリティサーバ１０から送信されたアクセス制御ルール２８を格納し、これを保持させる。
【００２９】
更に、図２に示すように、セキュリティサーバ１０は、セキュリティサーバ応答部１１と、セキュリティポリシー格納部１２と、セキュリティポリシーロード部１３と、ネットワーク通信部１４とを備えている。このうち、ネットワーク通信部１４は、計算機２０との間で通信を行うための通信インターフェイスである。セキュリティポリシー格納部１２は、多数のアクセス制御ルールで構成されたセキュリティポリシーを格納している。
【００３０】
セキュリティサーバ応答部１１は、計算機２０からの要求に応じて、セキュリティポリシー格納部１２を検索し、要求を行った計算機２０に対応するアクセス制御ルールを特定する。そして、セキュリティサーバ応答部１１は、ネットワーク通信部１４を介して、特定したアクセス制御ルールを、要求を行った計算機２０に送信する。
【００３１】
また、セキュリティポリシーロード部１３は、セキュリティポリシー格納部１２に格納されているセキュリティポリシーを更新する。更に、セキュリティポリシーロード部１３は、セキュリティポリシーを更新する場合、ネットワーク通信部１４を介して、各計算機２０に、フラグ２９が無効を示すように指示を送出する。この結果、各計算機２０は、新しいアクセス制御ルールの送信を要求するため、アクセス制御ルールが更新される。
【００３２】
このように、セキュリティ管理システム１００では、セキュリティポリシーの複製全てが各計算機２０に送信されることはない。また、アクセス制御ルール２８は、各計算機２０のキャッシュ２６に保持されるだけである。このため、計算機２０における負荷が抑制される。更に、セキュリティポリシーの更新処理は迅速に行われる。
【００３３】
ここで、計算機２０の構成について更に具体的に説明する。本実施の形態２では、計算機２０は、計算機カーネル部２１を備えている。計算機カーネル部２１は、計算機２０にインプリメントされたＯＳによって構築されている。更に、計算機カーネル部２１は、利用者リクエスト処理部２２と、計算機資源２３と、アクセス制御部２４とを備えている。
【００３４】
アクセス制御部２４は、先に述べた、アクセス制御判断部２５、キャッシュ２６、及びネットワーク通信部２７を備えている。キャッシュ２６は、計算機２０を構成するメモリ、又は計算機２０のプロセッサに設けられたキャッシュメモリ等によって実現されている。
【００３５】
計算機資源２３は、計算機２０によって管理されている、各種ファイル、ネットワークに接続するための情報等である。計算機２０の利用者３０は、計算機資源２３を利用するため、例えば、Ｗｅｂブラウザ等が提供する入力画面を介してリクエストを入力する。これにより、利用者リクエストが発行され、これが利用者リクエスト処理部２２に入力される。利用者リクエスト処理部２２は、利用者リクエストを受け付け、処理を行う。
【００３６】
具体的には、利用者リクエスト処理部２２は、先ず、アクセス制御部２４に対して、利用者３０のリクエストの実行可否を問い合わせる。このとき、アクセス制御判断部２５は、キャッシュに保持されているアクセス制御ルール２８に基づき、当該リクエストに対して、「許可」又は「禁止」の意思決定を行い、結果を返却する。
【００３７】
そして、利用者リクエスト処理部２２は、返却された結果が「許可」である場合は、計算機資源２３にアクセスし、アクセスによって得られた結果を利用者３０に返却する。一方、利用者リクエスト処理部２２は、返却された結果が「禁止」である場合は、それ以上処理を実行せず、利用者３０にエラーを返却する。
【００３８】
このように、計算機２０は、キャッシュ２６に保持されているアクセス制御ルール２８に従って、利用者３０による操作に対して制限を与えることができ、セキュリティが確保されることになる。
【００３９】
［システム動作］
次に、本発明の実施の形態１におけるセキュリティ管理システム１００の動作について図３及び図４を用いて説明する。以下の説明においては、適宜図１及び図２を参酌する。また、本実施の形態１では、セキュリティ管理システム１００を動作させることによって、セキュリティ管理方法が実施される。よって、本実施の形態におけるセキュリティ管理方法の説明は、以下のセキュリティ管理システム１００の動作説明に代える。
【００４０】
最初に、図３を用いて、利用者３０からリクエストが要求された場合の処理について説明する。図３は、本発明の実施の形態１におけるセキュリティ管理システムのリクエスト要求時の動作を示すフロー図である。
【００４１】
先ず、利用者３０が、入力画面からリクエストを要求すると、利用者リクエストが発行される。そして、図３に示すように、利用者リクエスト処理部２２が、利用者リクエストを受け付ける（ステップＡ１）。また、利用者リクエスト処理部２２は、アクセス制御部２４に対して、利用者リクエストの実行可否を問い合わせる。
【００４２】
次に、利用者リクエスト処理部２２によって、利用者リクエストの実行可否が問い合わせられると、アクセス制御判断部２５は、キャッシュ２６のフラグ２９が有効を示しているかどうかを確認する（ステップＡ２）。
【００４３】
ステップＡ２の確認の結果、フラグ２９が有効を示していない場合、即ち、無効化フラグがセットされている場合は、アクセス制御判断部２５は、キャッシュ２６に保持されているデータの内容を全て消去し、無効化フラグをクリアする（ステップＡ５）。初期状態では、キャッシュ２６のフラグ２９は無効を示すようにセットされている（無効化フラグがセットされている）。その後、ステップＡ６以降が実行される。ステップＡ６以降については後述する。
【００４４】
一方、ステップＡ２の確認の結果、フラグ２９が有効を示している場合は、アクセス制御判断部２５は、アクセス制御ルールがキャッシュ２６に存在しているかどうかを確認する（ステップＡ３）。
【００４５】
ステップＡ３の確認の結果、アクセス制御ルールがキャッシュ２６に存在している場合は、アクセス制御判断部２５は、そのアクセス制御ルール２８を用いて、利用者リクエストを許可するかどうかを判定する（ステップＡ４）。そして、アクセス制御判断部２５は、判定結果を、利用者リクエスト処理部２２に送る。
【００４６】
その後、利用者リクエスト処理部２２は、返却された結果が「許可」である場合は、計算機資源２３にアクセスし、アクセスによって得られた結果を利用者３０に返却する。一方、利用者リクエスト処理部２２は、返却された結果が「禁止」である場合は、それ以上処理を実行せず、利用者３０にエラーを返却する。
【００４７】
一方、ステップＡ３の確認の結果、アクセス制御ルールがキャッシュ２６に存在していない場合は、ステップＡ６以降が実行される。
【００４８】
ステップＡ６では、キャッシュ２６のフラグは無効を示しているため、アクセス制御判断部２５は、ネットワーク通信部２７を介して、セキュリティサーバ１０に、対応するアクセス制御ルールの送信を要求する。
【００４９】
次に、セキュリティサーバ１０において、セキュリティサーバ応答部１１は、計算機２０からの要求に応じて、セキュリティポリシー格納部を１２検索して、要求を行った計算機２０に対応するアクセス制御ルールを特定する。そして、セキュリティサーバ応答部１１は、ネットワーク通信部１４を介して、特定したアクセス制御ルールを、要求を行った計算機２０に送信する（ステップＡ７）。
【００５０】
次に、アクセス制御判断部２５は、ネットワーク通信部２７を介してアクセス制御ルールを受信する。そして、アクセス制御判断部２５は、受信したアクセス制御ルール２８をキャッシュ２６に書き込み、これを保持させる（ステップＡ８）。また、ステップＡ８が実行された場合も、ステップＡ４が実行され、判定結果が、利用者リクエスト処理部２２に送られる。
【００５１】
このように、本実施の形態１では、各計算機２０がセキュリティポリシーの複製を持つことなく、アクセス制御の意思決定が行われる。このため、計算機２０に発生する負荷が低減される。また、キャッシュ２６に無効化フラグがセットされると、計算機２０は、亜アクセス制御ルールを要求するため、セキュリティポリシーの一貫性も保たれることになる。
【００５２】
続いて、図４を用いて、セキュリティサーバ１０において、セキュリティポリシーが更新された場合の処理について説明する。図４は、本発明の実施の形態１におけるセキュリティ管理システムのセキュリティポリシー更新時の動作を示すフロー図である。
【００５３】
図４に示すように、先ず、セキュリティサーバ１０において、セキュリティポリシーロード部１３が、セキュリティポリシー格納部１２に格納されているセキュリティポリシーを新しいバージョンへと更新する（ステップＢ１）。
【００５４】
次に、セキュリティポリシーロード部１３は、ネットワーク通信部１４を介して、各計算機２０に、メッセージを送出し、各計算機２０のキャッシュ２６に無効化フラグをセットさせる（ステップＢ２）。
【００５５】
次に、キャッシュ２６に無効化フラグがセットされているため、アクセス制御判断部２５は、ネットワーク通信部２７を介して、セキュリティサーバ１０に、対応するアクセス制御ルールの送信を要求する（ステップＢ３）。ステップＢ３は、図３に示したステップＡ６と同様のステップである。
【００５６】
次に、セキュリティサーバ１０において、セキュリティサーバ応答部１１は、計算機２０からの要求に応じて、要求を行った計算機２０に対応するアクセス制御ルールを特定し、特定したアクセス制御ルールを、要求を行った計算機２０に送信する（ステップＢ４）。ステップＢ４は、図３に示したステップＡ７と同様の処理である。
【００５７】
その後、計算機２０において、アクセス制御判断部２５は、アクセス制御ルールを受信し、受信したアクセス制御ルール２８をキャッシュ２６に書き込み、これを保持させる（ステップＢ５）。ステップＢ５は、図３に示したステップＡ８と同様の処理である。
【００５８】
このように、本実施の形態１では、ステップＢ１〜Ｂ５の処理により、アクセス制御ルールの更新が完了する。この場合において、セキュリティサーバ１０は、無効化フラグをセットする旨のメッセージを送出するだけで良く、また、セキュリティポリシーの複製がそのまま転送されることはないため、更新は非常に短い時間で完了する。
【００５９】
本発明の実施の形態１における第１のプログラムは、コンピュータに、図３に示すステップＡ７、図４に示すステップＢ１、Ｂ２、Ｂ４を実行させるプログラムであれば良い。この第１のプログラムをコンピュータにインストールし、実行することによって、本実施の形態１におけるセキュリティサーバ１０を実現することができる。この場合、コンピュータのＣＰＵ（Central Processing Unit）は、セキュリティサーバ応答部１１、及びセキュリティポリシーロード部１３として機能し、処理を行なう。また、コンピュータに備えられたハードディスク等の記憶装置は、セキュリティポリシー格納部１２として機能する。
【００６０】
また、本発明の実施の形態１における第２のプログラムは、コンピュータに、図３に示すステップＡ１〜Ａ６、Ａ８、図４に示すステップＢ３、Ｂ５を実行させるプログラムであれば良い。この第２のプログラムをコンピュータにインストールし、実行することによって、本実施の形態１における計算機２０を実現することができる。この場合、コンピュータのＣＰＵは、利用者リクエスト処理部２２、及びアクセス制御判断部２５として機能し、処理を行なう。
【００６１】
（実施の形態２）
次に本発明の実施の形態２における、セキュリティ管理システム、セキュリティ管理方法、及びプログラムについて、図５を参照しながら説明する。図５は、本発明の実施の形態２におけるセキュリティ管理システムの全体構成を示す全体図である。
【００６２】
図５に示すように、本実施の形態２におけるセキュリティ管理システム１０１は、セキュリティサーバとして、プライマリセキュリティサーバ４０とセカンダリセキュリティサーバ４１との２台を備えている。
【００６３】
セカンダリセキュリティサーバ４１は、起動時及びセキュリティポリシーの更新時に、プライマリセキュリティサーバ４０から同期的にセキュリティポリシーの複製を受け取る。なお、この場合のセキュリティポリシーの複製の受け取りは、従来から転送技術を用いて行われ、セキュリティポリシー全体がセカンダリセキュリティサーバ４１に転送される。
【００６４】
各計算機２０は、実施の形態１において図２に示した計算機と同様に構成されている。但し、本実施の形態２では、各計算機２０は、任意のセキュリティサーバを選択し、選択したセキュリティサーバに対して、アクセス制御ルールの送信を要求することができる。例えば、現在、計算機２０が接続しているセキュリティサーバが何らかの障害でダウンした場合は、計算機２０は、次候補のセキュリティサーバに接続して、アクセス制御ルールの送信を要求することができる。
【００６５】
本実施の形態２によれば、セキュリティサーバの冗長性を確保でき、可用性を高める事ができる。また、同時に、複数のセキュリティサーバが用いられるため、計算機２０の数が非常に大きくなった場合は、負荷の分散を行なうことも可能となる。
【００６６】
（実施の形態３）
次に本発明の実施の形態３における、セキュリティ管理システム、セキュリティ管理方法、及びプログラムについて、図６を参照しながら説明する。図６は、本発明の実施の形態３におけるセキュリティ管理システムの全体構成を示す全体図である。
【００６７】
図６に示すように、本実施の形態３においては、セキュリティサーバ５０には、「秘密鍵」がインストールされており、各計算機２０には、「公開鍵」がインストールされている。また、秘密鍵と公開鍵は対になっており、公開鍵によって暗号化されたデータを秘密鍵によって復号する事ができる。
【００６８】
そして、本実施の形態３では、計算機２０は、セキュリティサーバ５０に接続する際に、ランダムに生成したワンタイム共有鍵を、公開鍵を用いて暗号化する。更に、計算機２０は、暗号化したワンタイム共有鍵をセキュリティサーバ５０に送信する。
【００６９】
また、セキュリティサーバ５０は、秘密鍵を用いて、ワンタイム共有鍵を復号化する。そして、これ以降、セキュリティサーバ５０は、計算機２０のリクエストに応じてアクセス制御ルールを返却する際には、ワンタイム共有鍵を用いてメッセージダイジェストを生成し、これをアクセス制御ルールに付加する。
【００７０】
また、各計算機２０は、アクセス制御ルールを受け取ると、ワンタイム共有鍵を用いて、メッセージダイジェストを生成し、生成したメッセージダイジェストと、アクセス制御ルールに付加されたメッセージダイジェストとが一致するかどうかを確認する。そして、各計算計２０は、一致する場合にのみ、送信されてきたアクセス制御ルールをキャッシュに書き込む。
【００７１】
このように、本実施の形態３におけるセキュリティ管理システム１０２によれば、通信経路上での改ざんの有無を確認する事ができることから、よりいっそうセキュリティの向上が図れられる。
【００７２】
ここで、実施の形態１〜３におけるプログラムを実行することによって、セキュリティサーバ又は計算機を実現するコンピュータについて図を用いて説明する。図７は、本発明の実施の形態１〜３にけるセキュリティサーバ又は計算機を実現するコンピュータの一例を示すブロック図である。
【００７３】
図７に示すように、コンピュータ１１０は、ＣＰＵ１１１と、メインメモリ１１２と、記憶装置１１３と、入力インターフェイス１１４と、表示コントローラ１１５と、データリーダ／ライタ１１６と、通信インターフェイス１１７とを備える。これらの各部は、バス１２１を介して、互いにデータ通信可能に接続される。
【００７４】
ＣＰＵ１１１は、記憶装置１１３に格納された、本実施の形態におけるプログラム（コード）をメインメモリ１１２に展開し、これらを所定順序で実行することにより、各種の演算を実施する。メインメモリ１１２は、典型的には、ＤＲＡＭ（Dynamic Random Access Memory）等の揮発性の記憶装置である。また、本実施の形態におけるプログラムは、コンピュータ読み取り可能な記録媒体１２０に格納された状態で提供される。なお、本実施の形態におけるプログラムは、通信インターフェイス１１７を介して接続されたインターネット上で流通するものであっても良い。
【００７５】
また、記憶装置１１３の具体例としては、ハードディスクの他、フラッシュメモリ等の半導体記憶装置が挙げられる。入力インターフェイス１１４は、ＣＰＵ１１１と、キーボード及びマウスといった入力機器１１８との間のデータ伝送を仲介する。表示コントローラ１１５は、ディスプレイ装置１１９と接続され、ディスプレイ装置１１９での表示を制御する。データリーダ／ライタ１１６は、ＣＰＵ１１１と記録媒体１２０との間のデータ伝送を仲介し、記録媒体１２０からのプログラムの読み出し、及びコンピュータ１１０における処理結果の記録媒体１２０への書き込みを実行する。通信インターフェイス１１７は、ＣＰＵ１１１と、他のコンピュータとの間のデータ伝送を仲介する。
【００７６】
また、記録媒体１２０の具体例としては、ＣＦ（Compact Flash）及びＳＤ（Secure Digital）等の汎用的な半導体記憶デバイス、フレキシブルディスク（Flexible Disk）等の磁気記憶媒体、又はＣＤ−ＲＯＭ（Compact Disk Read Only Memory）などの光学記憶媒体が挙げられる。
【００７７】
上述した実施の形態の一部又は全部は、以下に記載する（付記１）〜（付記１２）によって表現することができるが、以下の記載に限定されるものではない。
【００７８】
（付記１）
保持されているデータが有効及び無効のいずれであるかを示すフラグを有するキャッシュを備える、計算機と、
複数のアクセス制御ルールを含むセキュリティポリシーを管理し、且つ、前記計算機からの要求に応じて、前記計算機に対応するアクセス制御ルールを前記計算機に送信する、セキュリティサーバと、
を備え、
前記計算機は、前記フラグが無効を示す場合に、前記セキュリティサーバに、対応するアクセス制御ルールの送信を要求し、そして、前記キャッシュに、前記セキュリティサーバから送信されたアクセス制御ルールを保持し、
前記セキュリティサーバは、前記セキュリティポリシーを更新する場合に、前記計算機に、前記フラグが無効を示すように指示を与える、
ことを特徴とする、セキュリティ管理システム。
【００７９】
（付記２）
前記計算機が、更に、前記キャッシュが前記アクセス制御ルールを保持していない場合にも、前記セキュリティサーバに、対応するアクセス制御ルールの送信を要求する、請求項１に記載のセキュリティ管理システム。
【００８０】
（付記３）
前記計算機が、外部から、前記計算機が備える計算機資源の利用が求められると、
前記フラグが有効であるかどうか、及び前記キャッシュが前記アクセス制御ルールを保持しているかどうかを判定し、
前記フラグが有効であり、且つ、前記キャッシュが前記アクセス制御ルールを保持している場合に、前記アクセス制御ルールに基づいて、前記利用を許可するかどうかを判断する、請求項１又は２に記載のセキュリティ管理システム。
【００８１】
（付記４）
複数のセキュリティサーバが備えられ、前記複数のセキュリティサーバは、それぞれ、同一のセキュリティポリシーを管理しており、
前記計算機は、前記複数のセキュリティサーバのいずれかに対して、前記対応するアクセス制御ルールの送信を要求する、請求項１〜３のいずれかに記載のセキュリティ管理システム。
【００８２】
（付記５）
前記セキュリティサーバが、送信対象となる前記アクセス制御ルールに、前記計算機から予め受け取ったワンタイム公開鍵を用いて生成したメッセージダイジェストを付加し、
前記計算機が、前記ワンタイム公開鍵によってメッセージダイジェストを生成し、生成したメッセージダイジェストと、前記セキュリティサーバが付加したメッセージダイジェストとが一致する場合に、前記アクセス制御ルールを前記キャッシュに保持させる、
請求項１〜４のいずれかに記載のセキュリティ管理システム。
【００８３】
（付記６）
保持されているデータが有効及び無効のいずれであるかを示すフラグを有するキャッシュを備える計算機と、複数のアクセス制御ルールを含むセキュリティポリシーを管理するセキュリティサーバとを用いる、セキュリティ管理方法であって、
（ａ）前記フラグが無効を示す場合に、前記計算機によって、前記セキュリティサーバに、対応するアクセス制御ルールの送信を要求する、ステップと、
（ｂ）前記セキュリティサーバによって、前記計算機からの要求に応じて、前記計算機に、対応するアクセス制御ルールを送信する、ステップと、
（ｃ）前記計算機によって、前記キャッシュにおいて、前記セキュリティサーバから送信されたアクセス制御ルールを保持する、ステップと、
（ｄ）前記セキュリティサーバによって、前記セキュリティポリシーを更新する場合に、前記計算機に、前記フラグが無効を示すように指示を与える、ステップと、
を有することを特徴とする、セキュリティ管理方法。
【００８４】
（付記７）
（ｅ）前記キャッシュが前記アクセス制御ルールを保持していない場合に、前記計算機によって、前記セキュリティサーバに、対応するアクセス制御ルールの送信を要求する、ステップを更に有する、請求項６に記載のセキュリティ管理方法。
【００８５】
（付記８）
（ｆ）外部から、前記計算機が備える計算機資源の利用が求められると、前記計算機によって、前記フラグが有効であるかどうか、及び前記キャッシュが前記アクセス制御ルールを保持しているかどうかを判定し、前記フラグが有効であり、且つ、前記キャッシュが前記アクセス制御ルールを保持している場合に、前記アクセス制御ルールに基づいて、前記利用を許可するかどうかを判断する、請求項７に記載のセキュリティ管理方法。
【００８６】
（付記９）
複数のセキュリティサーバが備えられ、前記複数のセキュリティサーバは、それぞれ、同一のセキュリティポリシーを管理している場合に、
前記（ａ）のステップにおいて、前記計算機は、前記複数のセキュリティサーバのいずれかに対して、前記対応するアクセス制御ルールの送信を要求する、請求項６〜８のいずれかに記載のセキュリティ管理方法。
【００８７】
（付記１０）
（ｇ）前記セキュリティサーバによって、送信対象となる前記アクセス制御ルールに、前記計算機から予め受け取ったワンタイム公開鍵を用いて生成したメッセージダイジェストを付加する、ステップを更に有し、
前記（ｃ）のステップにおいて、前記計算機が、前記ワンタイム公開鍵によってメッセージダイジェストを生成し、生成したメッセージダイジェストと、前記セキュリティサーバが付加したメッセージダイジェストとが一致する場合に、前記アクセス制御ルールを前記キャッシュに保持させる、
請求項６〜９のいずれかに記載のセキュリティ管理方法。
【００８８】
（付記１１）
保持されているデータが有効及び無効のいずれであるかを示すフラグを有するキャッシュを備える計算機を対象として、コンピュータによって、複数のアクセス制御ルールを含むセキュリティポリシーの管理を行うためのプログラムであって、
前記コンピュータに、
（ａ）前記フラグが無効を示すことを条件に、前記計算機が、前記セキュリティサーバに、対応するアクセス制御ルールの送信を要求した場合に、前記計算機に対応するアクセス制御ルールを前記計算機に送信し、前記キャッシュに、送信されたアクセス制御ルールを保持させる、ステップと、
（ｂ）前記セキュリティポリシーを更新する場合に、前記計算機に、前記フラグが無効を示すように指示を与える、ステップと、
を実行させるプログラム。
【００８９】
（付記１２）
保持されているデータが有効及び無効のいずれであるかを示すフラグを有するキャッシュを備えたコンピュータにおいて、そのセキュリティを管理するためのプログラムであって、
前記コンピュータに、
（ａ）前記フラグが無効を示す場合に、複数のアクセス制御ルールを含むセキュリティポリシーを管理する前記セキュリティサーバに対して、対応するアクセス制御ルールの送信を要求し、そして、前記キャッシュに、送信されたアクセス制御ルールを保持する、ステップと、
（ｂ）前記セキュリティサーバが、前記フラグが無効を示すように指示を与えた場合に、前記フラグを無効にする、ステップと、
を実行させるプログラム。
【産業上の利用可能性】
【００９０】
以上のように、本発明によれば、セキュリティポリシーが適用される計算機の負荷の低減と、セキュリティポリシーの更新処理の迅速化とを図ることができる。本発明は、非常に多くの計算機ノードを含むクラスタ環境下で、各計算機に適用されるセキュリティポリシーの集中管理が求められるシステムに有用である。
【符号の説明】
【００９１】
１０ セキュリティサーバ（実施の形態１）
１１ セキュリティサーバ応答部
１２ セキュリティポリシー格納部１２
１３ セキュリティポリシーロード部
１４ ネットワーク通信部
２０ 計算機
２１ 計算機カーネル部
２２ 利用者リクエスト処理部
２３ 計算機資源
２４ アクセス制御部
２５ アクセス制御判断部
２６ キャッシュ
２７ ネットワーク通信部
２８ アクセス制御ルール
２９ フラグ
３０ 利用者
４０ プライマリセキュリティサーバ（実施の形態２）
４１ セカンダリセキュリティサーバ（実施の形態２）
５０ セキュリティサーバ（実施の形態３）
１００ セキュリティ管理システム（実施の形態１）
１０１ セキュリティ管理システム（実施の形態２）
１０２ セキュリティ管理システム（実施の形態３）
１１０ コンピュータ
１１１ ＣＰＵ
１１２ メインメモリ
１１３ 記憶装置
１１４ 入力インターフェイス
１１５ 表示コントローラ
１１６ データリーダ／ライタ
１１７ 通信インターフェイス
１１８ 入力機器
１１９ ディスプレイ装置
１２０ 記録媒体
１２１ バス
【特許請求の範囲】
【請求項１】
保持されているデータが有効及び無効のいずれであるかを示すフラグを有するキャッシュを備える、計算機と、
複数のアクセス制御ルールを含むセキュリティポリシーを管理し、且つ、前記計算機からの要求に応じて、前記計算機に対応するアクセス制御ルールを前記計算機に送信する、セキュリティサーバと、
を備え、
前記計算機は、前記フラグが無効を示す場合に、前記セキュリティサーバに、対応するアクセス制御ルールの送信を要求し、そして、前記キャッシュに、前記セキュリティサーバから送信されたアクセス制御ルールを保持し、
前記セキュリティサーバは、前記セキュリティポリシーを更新する場合に、前記計算機に、前記フラグが無効を示すように指示を与える、
ことを特徴とする、セキュリティ管理システム。
【請求項２】
前記計算機が、更に、前記キャッシュが前記アクセス制御ルールを保持していない場合にも、前記セキュリティサーバに、対応するアクセス制御ルールの送信を要求する、請求項１に記載のセキュリティ管理システム。
【請求項３】
前記計算機が、外部から、前記計算機が備える計算機資源の利用が求められると、
前記フラグが有効であるかどうか、及び前記キャッシュが前記アクセス制御ルールを保持しているかどうかを判定し、
前記フラグが有効であり、且つ、前記キャッシュが前記アクセス制御ルールを保持している場合に、前記アクセス制御ルールに基づいて、前記利用を許可するかどうかを判断する、請求項１又は２に記載のセキュリティ管理システム。
【請求項４】
複数のセキュリティサーバが備えられ、前記複数のセキュリティサーバは、それぞれ、同一のセキュリティポリシーを管理しており、
前記計算機は、前記複数のセキュリティサーバのいずれかに対して、前記対応するアクセス制御ルールの送信を要求する、請求項１〜３のいずれかに記載のセキュリティ管理システム。
【請求項５】
前記セキュリティサーバが、送信対象となる前記アクセス制御ルールに、前記計算機から予め受け取ったワンタイム公開鍵を用いて生成したメッセージダイジェストを付加し、
前記計算機が、前記ワンタイム公開鍵によってメッセージダイジェストを生成し、生成したメッセージダイジェストと、前記セキュリティサーバが付加したメッセージダイジェストとが一致する場合に、前記アクセス制御ルールを前記キャッシュに保持させる、
請求項１〜４のいずれかに記載のセキュリティ管理システム。
【請求項６】
保持されているデータが有効及び無効のいずれであるかを示すフラグを有するキャッシュを備える計算機と、複数のアクセス制御ルールを含むセキュリティポリシーを管理するセキュリティサーバとを用いる、セキュリティ管理方法であって、
（ａ）前記フラグが無効を示す場合に、前記計算機によって、前記セキュリティサーバに、対応するアクセス制御ルールの送信を要求する、ステップと、
（ｂ）前記セキュリティサーバによって、前記計算機からの要求に応じて、前記計算機に、対応するアクセス制御ルールを送信する、ステップと、
（ｃ）前記計算機によって、前記キャッシュにおいて、前記セキュリティサーバから送信されたアクセス制御ルールを保持する、ステップと、
（ｄ）前記セキュリティサーバによって、前記セキュリティポリシーを更新する場合に、前記計算機に、前記フラグが無効を示すように指示を与える、ステップと、
を有することを特徴とする、セキュリティ管理方法。
【請求項７】
保持されているデータが有効及び無効のいずれであるかを示すフラグを有するキャッシュを備える計算機を対象として、コンピュータによって、複数のアクセス制御ルールを含むセキュリティポリシーの管理を行うためのプログラムであって、
前記コンピュータに、
（ａ）前記フラグが無効を示すことを条件に、前記計算機が、前記セキュリティサーバに、対応するアクセス制御ルールの送信を要求した場合に、前記計算機に対応するアクセス制御ルールを前記計算機に送信し、前記キャッシュに、送信されたアクセス制御ルールを保持させる、ステップと、
（ｂ）前記セキュリティポリシーを更新する場合に、前記計算機に、前記フラグが無効を示すように指示を与える、ステップと、
を実行させるプログラム。
【請求項８】
保持されているデータが有効及び無効のいずれであるかを示すフラグを有するキャッシュを備えたコンピュータにおいて、そのセキュリティを管理するためのプログラムであって、
前記コンピュータに、
（ａ）前記フラグが無効を示す場合に、複数のアクセス制御ルールを含むセキュリティポリシーを管理する前記セキュリティサーバに対して、対応するアクセス制御ルールの送信を要求し、そして、前記キャッシュに、送信されたアクセス制御ルールを保持する、ステップと、
（ｂ）前記セキュリティサーバが、前記フラグが無効を示すように指示を与えた場合に、前記フラグを無効にする、ステップと、
を実行させるプログラム。
【請求項１】
保持されているデータが有効及び無効のいずれであるかを示すフラグを有するキャッシュを備える、計算機と、
複数のアクセス制御ルールを含むセキュリティポリシーを管理し、且つ、前記計算機からの要求に応じて、前記計算機に対応するアクセス制御ルールを前記計算機に送信する、セキュリティサーバと、
を備え、
前記計算機は、前記フラグが無効を示す場合に、前記セキュリティサーバに、対応するアクセス制御ルールの送信を要求し、そして、前記キャッシュに、前記セキュリティサーバから送信されたアクセス制御ルールを保持し、
前記セキュリティサーバは、前記セキュリティポリシーを更新する場合に、前記計算機に、前記フラグが無効を示すように指示を与える、
ことを特徴とする、セキュリティ管理システム。
【請求項２】
前記計算機が、更に、前記キャッシュが前記アクセス制御ルールを保持していない場合にも、前記セキュリティサーバに、対応するアクセス制御ルールの送信を要求する、請求項１に記載のセキュリティ管理システム。
【請求項３】
前記計算機が、外部から、前記計算機が備える計算機資源の利用が求められると、
前記フラグが有効であるかどうか、及び前記キャッシュが前記アクセス制御ルールを保持しているかどうかを判定し、
前記フラグが有効であり、且つ、前記キャッシュが前記アクセス制御ルールを保持している場合に、前記アクセス制御ルールに基づいて、前記利用を許可するかどうかを判断する、請求項１又は２に記載のセキュリティ管理システム。
【請求項４】
複数のセキュリティサーバが備えられ、前記複数のセキュリティサーバは、それぞれ、同一のセキュリティポリシーを管理しており、
前記計算機は、前記複数のセキュリティサーバのいずれかに対して、前記対応するアクセス制御ルールの送信を要求する、請求項１〜３のいずれかに記載のセキュリティ管理システム。
【請求項５】
前記セキュリティサーバが、送信対象となる前記アクセス制御ルールに、前記計算機から予め受け取ったワンタイム公開鍵を用いて生成したメッセージダイジェストを付加し、
前記計算機が、前記ワンタイム公開鍵によってメッセージダイジェストを生成し、生成したメッセージダイジェストと、前記セキュリティサーバが付加したメッセージダイジェストとが一致する場合に、前記アクセス制御ルールを前記キャッシュに保持させる、
請求項１〜４のいずれかに記載のセキュリティ管理システム。
【請求項６】
保持されているデータが有効及び無効のいずれであるかを示すフラグを有するキャッシュを備える計算機と、複数のアクセス制御ルールを含むセキュリティポリシーを管理するセキュリティサーバとを用いる、セキュリティ管理方法であって、
（ａ）前記フラグが無効を示す場合に、前記計算機によって、前記セキュリティサーバに、対応するアクセス制御ルールの送信を要求する、ステップと、
（ｂ）前記セキュリティサーバによって、前記計算機からの要求に応じて、前記計算機に、対応するアクセス制御ルールを送信する、ステップと、
（ｃ）前記計算機によって、前記キャッシュにおいて、前記セキュリティサーバから送信されたアクセス制御ルールを保持する、ステップと、
（ｄ）前記セキュリティサーバによって、前記セキュリティポリシーを更新する場合に、前記計算機に、前記フラグが無効を示すように指示を与える、ステップと、
を有することを特徴とする、セキュリティ管理方法。
【請求項７】
保持されているデータが有効及び無効のいずれであるかを示すフラグを有するキャッシュを備える計算機を対象として、コンピュータによって、複数のアクセス制御ルールを含むセキュリティポリシーの管理を行うためのプログラムであって、
前記コンピュータに、
（ａ）前記フラグが無効を示すことを条件に、前記計算機が、前記セキュリティサーバに、対応するアクセス制御ルールの送信を要求した場合に、前記計算機に対応するアクセス制御ルールを前記計算機に送信し、前記キャッシュに、送信されたアクセス制御ルールを保持させる、ステップと、
（ｂ）前記セキュリティポリシーを更新する場合に、前記計算機に、前記フラグが無効を示すように指示を与える、ステップと、
を実行させるプログラム。
【請求項８】
保持されているデータが有効及び無効のいずれであるかを示すフラグを有するキャッシュを備えたコンピュータにおいて、そのセキュリティを管理するためのプログラムであって、
前記コンピュータに、
（ａ）前記フラグが無効を示す場合に、複数のアクセス制御ルールを含むセキュリティポリシーを管理する前記セキュリティサーバに対して、対応するアクセス制御ルールの送信を要求し、そして、前記キャッシュに、送信されたアクセス制御ルールを保持する、ステップと、
（ｂ）前記セキュリティサーバが、前記フラグが無効を示すように指示を与えた場合に、前記フラグを無効にする、ステップと、
を実行させるプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【公開番号】特開２０１２−１８１８０２（Ｐ２０１２−１８１８０２Ａ）
【公開日】平成２４年９月２０日（２０１２．９．２０）
【国際特許分類】
【出願番号】特願２０１１−４５９８２（Ｐ２０１１−４５９８２）
【出願日】平成２３年３月３日（２０１１．３．３）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＣＯＭＰＡＣＴＦＬＡＳＨ
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
【公開日】平成２４年９月２０日（２０１２．９．２０）
【国際特許分類】
【出願日】平成２３年３月３日（２０１１．３．３）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＣＯＭＰＡＣＴＦＬＡＳＨ
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
[ Back to top ]