プログラム、制限方法及びコンピュータ
【課題】不必要な接続デバイスの利用を防止する。
【解決手段】許可リスト設定手段１ｃにより、接続を許可する接続デバイスを規定する接続許可リスト１ａが設定され、リスト記憶手段１ｂに格納される。接続制限手段１ｄでは、接続ポート２ａ、２ｂ、２ｃを介して接続デバイスが接続されると、その接続デバイスからデバイス情報を取り出し、デバイス情報と接続許可リスト１ａとを照合し、この接続デバイスが接続許可デバイスに相当するがどうかを判定する。そして、接続デバイスが接続許可デバイスに相当する場合は接続を許可し、相当しない場合は接続を禁止する。
【解決手段】許可リスト設定手段１ｃにより、接続を許可する接続デバイスを規定する接続許可リスト１ａが設定され、リスト記憶手段１ｂに格納される。接続制限手段１ｄでは、接続ポート２ａ、２ｂ、２ｃを介して接続デバイスが接続されると、その接続デバイスからデバイス情報を取り出し、デバイス情報と接続許可リスト１ａとを照合し、この接続デバイスが接続許可デバイスに相当するがどうかを判定する。そして、接続デバイスが接続許可デバイスに相当する場合は接続を許可し、相当しない場合は接続を禁止する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はプログラム、制限方法及びコンピュータに関し、特にコンピュータに接続して利用されるデバイスの利用制限を行うプログラム、制限方法及びコンピュータに関する。
【背景技術】
【０００２】
オフィスや家庭で使用されるコンピュータ、たとえば、パーソナルコンピュータ（以下、ＰＣとする）には、周辺機器や拡張カード（以下、総称してデバイスとする）などが接続された場合に、デバイスドライバの組み込みと設定を自動的に行う機能が組み込まれている。たとえば、キーボードやマウス、外部記憶装置など、さまざまな周辺デバイスと簡単に接続するために、ＵＳＢ（Universal Serial Bus）に代表される接続デバイスが装備されている。
【０００３】
ＵＳＢデバイスには、ＰＣに接続時、基本ソフトであるＯＳ（Operating System）からの要求に応じてデバイス種別などの情報を送信する機能が組み込まれている。
図１１は、従来のＵＳＢデバイスのデバイス情報読み出し手順を示したフローチャートである。ＵＳＢデバイスが接続ポートに接続されたことがＯＳに通知されると、ＯＳは、接続されたＵＳＢデバイスのデバイス情報を要求し、ターゲットのＵＳＢデバイス情報を抽出する（ステップＳ９１）。そして、抽出したＵＳＢデバイス情報をＯＳに返す（ステップＳ９２）。こうして、ＵＳＢデバイス情報を取得したＯＳは、接続デバイスのデバイス種類などを認識し、この接続デバイスが利用できるように処理を行う。このような仕組みにより、ＵＳＢに新たに接続されたデバイスがすぐに利用できるようになっている。
【０００４】
しかしながら、このように周辺デバイスを容易に接続できるようになると、ＰＣからの情報の漏洩、もしくはＰＣへの不必要な情報の持ち込みが発生するなど、セキュリティ上の問題が生じる。
【０００５】
そこで、周辺デバイスのカテゴリに応じて利用を制限する手法が提案されている。たとえば、「ストレージ」というカテゴリを設定すれば、ストレージ・デバイスを接続して利用することができなくなる。
【０００６】
また、コンピュータに接続端末の製造番号を登録しておき、接続許可を要求している接続端末の製造番号と登録している製造番号を照合し、一致する場合のみ接続を許可する接続照合システムが提案されている（たとえば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００３−６１６６号公報（段落番号〔０００７〕〜〔００１９〕、図１）
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかし、従来のデバイス制限では、詳細な利用制限を設定することができない、もしくは、煩雑な設定作業が必要になるなど使い勝手が悪く、不必要なデバイスの利用を防止できないという問題点があった。
【０００９】
カテゴリで利用制限をかける場合、利用制限の判定処理は、アプリケーションプログラムに近いレベル、すなわち、デバイスに関する情報が抽象化されて細かい個別情報を知ることのできない段階で行われるため、個別のデバイスに対する利用制限ができないという問題点がある。たとえば、「ストレージ」というカテゴリで利用制限をかけると、すべてのストレージの接続ができなくなってしまう。また、既存のカテゴリにしか利用制限をかけることができないという問題点もある。
【００１０】
一方、製造番号を照合して接続可否を判断する接続照合システムでは、許可する端末ごとに製造番号をすべて登録しなければならず、システムが大規模になると登録台数も増加し、登録作業が煩雑になるという問題点があり、登録ミスも発生しやすい。さらに、接続可否の判定しか行われず、読み出しは許可するが書き込みは許可しないなど、細かい対応ができない。
【００１１】
このように、従来の接続デバイス制限では、既存のカテゴリごとの利用制限、もしくは、個々のデバイスの接続制限といった対応しかできず、使用者、メーカー、製品、利用する接続デバイス、利用形態、というようなさまざまな設定で利用制限を行うことができなかった。たとえば、「Ａ氏に、Ｘ社製のＹという製品名のＺという個体識別番号を持つＵＳＢメモリのみを利用可能とし、他のＵＳＢメモリ及びＵＳＢデバイスは利用禁止とする」というような運用には適応できなかった。このため、所望の運用ができない場合や、設定漏れやミスなどが発生する可能性が高く、結果として不必要な利用を防止できないというセキュリティ上の問題が生じた。
【００１２】
本発明はこのような点に鑑みてなされたものであり、コンピュータに接続して利用可能なデバイスを、デバイス種類や個体指定、ユーザ指定など任意の設定条件で制限することにより、不必要なデバイスの利用を防止し、セキュリティを高めることが可能なプログラム、制限方法及びコンピュータを提供することを目的とする。
【課題を解決するための手段】
【００１３】
本発明では上記課題を解決するために、コンピュータに接続して利用されるデバイスの利用制限を行うプログラムが提供される。本発明に係るプログラムは、コンピュータに、コンピュータに接続して利用することを許容するデバイスの特定を、複数の特定方法のうち、いずれの特定方法によるものでも許容する。複数の特定方法は、少なくとも、デバイス固有のＩＤを用いて特定する方法と、プロダクトＩＤ又はベンダーＩＤを用いて特定する方法とを含み、接続されたデバイスから、該デバイス固有のＩＤと、プロダクトＩＤ又はベンダーＩＤとを含むデバイス情報を取得させる。デバイス固有のＩＤを用いて特定する方法により利用することを許容するデバイスが特定される場合、少なくとも、デバイス情報に含まれるデバイス固有のＩＤを用いて該デバイスの利用を制限するか否かを判定する。プロダクトＩＤ又はベンダーＩＤを用いて特定する方法により利用することを許容するデバイスが特定される場合、少なくとも、デバイス情報に含まれるプロダクトＩＤ又はベンダーＩＤを用いて該デバイスの利用を制限するか否かを判定させる。
【００１４】
また、上記課題を解決するために、上記の処理手順を実行する制限方法及びコンピュータが提供される。
【発明の効果】
【００１５】
本発明では、デバイスが接続ポートに接続されると、デバイスからデバイス情報を取り出し、このデバイスが、このコンピュータに接続して利用することが許容されるデバイスに相当するかどうかを判定し、判定結果に応じて、接続されたデバイスの利用制限を実行する。このため、管理者は利用者が利用できるデバイスを運用状況に合わせて所望の条件で制限することが可能となる。また、接続許可リストに接続を許可するデバイスを規定するために必要な特定事項を設定しておけば、不必要なデバイスの利用を防止し、セキュリティを高めることが可能となる。
【図面の簡単な説明】
【００１６】
【図１】実施の形態に適用される発明の概念図である。
【図２】接続許可リストの一例を示す構成図である。
【図３】本実施の形態の接続デバイス制限装置が組み込まれるＰＣのハードウェア構成例を示すブロック図である。
【図４】本実施の形態のＵＳＢインタフェースの構成例を示すブロック図である。
【図５】ＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲの構成を示している。
【図６】本実施の形態のＵＳＢデバイスの接続制限処理手順を示したフローチャートである。
【図７】本実施の形態のユーザアカウントごとに接続許可リストを有する接続デバイス制限装置の構成図である。
【図８】本実施の形態の設定ツール画面の一例を示した図である。
【図９】本実施の形態の接続を許可するデバイスの登録画面の一例を示した図である。
【図１０】本実施の形態の追加ＵＳＢ画面の一例を示した図である。
【図１１】従来のＵＳＢデバイスのデバイス情報読み出し手順を示したフローチャートである。
【発明を実施するための形態】
【００１７】
以下、本発明の実施の形態を図面を参照して説明する。まず、実施の形態に適用される発明の概念について説明し、その後、実施の形態の具体的な内容を説明する。
図１は、実施の形態に適用される発明の概念図である。
【００１８】
本発明に係る接続デバイス制限装置１は、コンピュータ内部のＯＳ／ドライバ３などのソフトウェア群と、周辺機器である接続デバイス（以下、デバイスとする）を接続するための接続ポート２ａ、２ｂ、２ｃとの間の情報が流れるルート上に位置し、接続ポート２ａ、２ｂ、２ｃを介して接続されるデバイスとＯＳ／ドライバ３との間のデータ交換を制御する。接続デバイス制限装置１は、接続許可デバイス（以下、許可デバイスとする）を規定する接続許可リスト１ａを格納するリスト記憶手段１ｂ、接続許可リスト１ａを設定する許可リスト設定手段１ｃ、接続制限を行う接続制限手段１ｄ及び接続ポート２ａ、２ｂ、２ｃを介したデータ転送を制御するインタフェース１ｅを有する。
【００１９】
リスト記憶手段１ｂは、接続許可リスト１ａを記憶する記憶手段で、許可リスト設定手段１ｃ及び接続制限手段１ｄからアクセス可能である。接続許可リスト１ａには、接続を許可する許可デバイスを規定する情報、すなわち、許可デバイスを特定するための情報が含まれている。詳細は後述するが、この特定するための情報の情報量は、利用制限の運用に応じて可変とし、許可デバイスを特定するための項目（以下、特定事項とする）の項目数は接続許可対象に応じて決まる。たとえば、特定項目として、ベンダー名、プロダクト名がある場合、特定事項がベンダー名であれば、該当するベンダー名のデバイスの接続が許可され、特定事項がベンダー名とプロダクト名であれば、さらにプロダクト名が一致したものが接続許可される。また、ＨＩＤ（Human Input Device）というようなデバイス種別ごとに接続を許可するような設定も可能とする。
【００２０】
許可リスト設定手段１ｃは、接続許可リスト１ａに登録される情報を取得し、接続許可リスト１ａを設定してリスト記憶手段１ｂに格納する。なお、接続許可リスト１ａを作成するため利用者に登録を促す設定アプリケーションは、許可リスト設定手段１ｃ外部に格納しておき、許可リスト設定手段１ｃでは作成された接続許可リスト１ａを入力してリスト記憶手段１ｂに格納する処理を行うとする構成をとることもできる。
【００２１】
接続制限手段１ｄは、接続ポート２ａ、２ｂ、２ｃにデバイスが接続されたことをインタフェース１ｅより取得すると、そのデバイスを特定するためのデバイス情報をインタフェース１ｅ経由で取り出す（ステップＳ１）。そして、取り出したデバイス情報を用いて、接続されたデバイスと接続許可リスト１ａの許可デバイスとを照合する（ステップＳ２）。デバイスが接続許可リスト１ａの許可デバイスに相当する場合、このデバイスの接続を許可し、相当しない場合には接続を禁止する（ステップＳ３）。
【００２２】
インタフェース１ｅは、接続制限手段１ｄと接続ポート２ａ、２ｂ、２ｃに接続するデバイスとの間のデータ交換を制御する。すなわち、デバイスから取得した情報は接続制限手段１ｄへ伝え、接続制限手段１ｄから取得した情報はデバイスに伝達する。
【００２３】
なお、上記の説明の接続デバイス制限装置１の各処理手段は、コンピュータが接続デバイス制限プログラムを実行することにより実現することができる。また、ハードウェアで実現することも、双方を組み合わせて実現することもできる。
【００２４】
以上の構成の接続デバイス制限装置１の動作について説明する。
管理者もしくは利用者は、予め、接続を許可するデバイスを規定する情報を登録しておく。許可リスト設定手段１ｃは、登録情報に基づき接続許可リスト１ａを設定し、リスト記憶手段１ｂに格納する。接続許可リスト１ａには、接続を許可するデバイスを特定する情報、たとえば、メーカー名、プロダクト名、個別のシリアル番号などの他、デバイス種別全体を一括して任意に登録できる。たとえば、「メーカーＸの全製品を許可する。」、「メーカーＸのうち製品Ｙを許可する。」、「メーカーＸの製品Ｙのうちシリアル番号Ｚを許可する。」という指定ができるとする。これにより、特定個体のみを限定して利用を許可することや、個体までは限定しないで利用許可にすることが任意にできる。また、個々のデバイスを指定するのではなく、その種類全体、たとえば、「ＨＩＤデバイスは、どのメーカーのものでも許可する。」という指定が可能になる。これにより、個々のＨＩＤデバイスの許可設定を行うことなく、ＨＩＤデバイスを一括して利用可能とすることができる。
【００２５】
このように接続許可リスト１ａが登録され、リスト記憶手段１ｂに格納された後、接続ポート２ａ、２ｂ、２ｃにデバイスが接続されたことをインタフェース１ｅが検出し、接続制限手段１ｄに通知する。接続制限手段１ｄは、接続されたデバイスのデバイス情報をインタフェース１ｅ経由で取り出し、そのデバイス情報と接続許可リスト１ａを照合して、このデバイスの接続を許可できるかどうかを判断する。このデバイスが許可デバイスに相当する場合には接続は許可し、相当しない場合には接続を禁止する。たとえば、接続許可リスト１ａに、「メーカーＸの全製品を許可する。」という登録があり、接続するデバイスのメーカーがＸであった場合、接続を許可する。そして、デバイスが接続されたことをＯＳ／ドライバ３に通知し、以降の利用を可能とする。一方、接続するデバイスのメーカーがＸ以外であった場合、接続を禁止する。そして、デバイスが接続されたことをＯＳ／ドライバ３に通知しないなどにより、このデバイスが利用できないようにする。
【００２６】
ここで、接続許可リストについて説明する。図２は、接続許可リストの一例を示す構成図である。
図の例の接続許可リストは、接続許可リストに設定されるデバイス数を格納するデバイス数１０１、各許可デバイスを規定する許可デバイス１（１０２）から許可デバイスｎ（１０３）及び例外を規定する例外情報１０４の各領域を有する。
【００２７】
デバイス数１０１には、接続許可リストに登録される許可デバイスの総数が格納される。登録総数がわかることにより、不必要な領域との照合を省くことができ、照合処理が速くなる。
【００２８】
許可デバイス１（１０２）から許可デバイスｎ（１０３）には、許可デバイスを規定する情報がデバイスごとに登録されている。各デバイスに登録される項目には、許可レベルに応じた強度が決められている。強度とは、どの程度、許可デバイスを特定するかを表し、強度が増すほど特定事項の項目数が増え、許可デバイスがより詳細に特定される。また、特定事項には、ベンダーＩＤ、プロダクトＩＤ、シリアル番号がある。ベンダーＩＤは、メーカーを識別するため、メーカー固有に割り当てられた番号である。プロダクトＩＤは、製品を識別するため、製品ごとに割り当てられた番号である。そして、シリアル番号は、個々の製品を特定するため、製品ごとに付与される通し番号である。図の例では、強度が低（＝１）の場合、特定事項数が少なく、ベンダーＩＤのみが指定される。すなわち、「メーカーＸの全製品を許可する。」という登録ができる。強度が中（＝２）の場合、特定事項数が増え、ベンダーＩＤとプロダクトＩＤが指定される。すなわち、「メーカーＸのうち製品Ｙを許可する。」という登録ができる。強度が高（＝３）の場合、個々のデバイスを特定し、特定事項としてベンダーＩＤとプロダクトＩＤ及びシリアル番号が指定される。すなわち、「メーカーＸの製品Ｙのうちシリアル番号Ｚを許可する。」という登録ができる。
【００２９】
例外情報１０４は、許可デバイスとして個々のデバイスを指定するのではなく、デバイスの種別など、全体の許可もしくは禁止の指示が登録される。図の例では、例外情報として、ＵＳＢハブデバイスの許可という項目と、ＨＩＤデバイスの許可という項目がある。ＵＳＢハブデバイスの許可という項目では、常に許可が設定される。これは、ＵＳＢハブにつながるデバイスを制御するために、ＵＳＢハブは常に許可する必要があることによる。また、ＨＩＤデバイスの許可という項目では、すべてのＨＩＤデバイスを許可しない（＝０）、もしくは、すべてのＨＩＤデバイスを許可する（＝１）のいずれかが選択され、設定される。このように、種別で許可設定を行うことにより、個々の許可デバイスを登録する手間を省くことができる。たとえば、図の例で、利用されるＨＩＤデバイスのメーカーを特定できないが、ＨＩＤデバイスなら接続しても支障がないような構成の場合、例外情報１０４に設定することにより、簡単にすべてのＨＩＤデバイスを利用可能とすることができる。一方、外部に情報を流出したくないような場合、例外情報１０４において記憶デバイスの接続を禁止しておけば、すべての記憶デバイスの利用が不可能となる。
【００３０】
以上のように、接続許可リストには、個々のデバイスの許可設定も可能であるし、種別全体を一括して許可設定もしくは禁止設定することができる。このように、接続を許可するデバイスを任意のレベルで設定することができるため、利用者もしくは管理者は、コンピュータの用途やシステム構成などに応じて、所望の許可リストを容易に作成することができる。また、接続デバイス制限装置側は、どのような強度レベルであっても同様に処理（登録された許可デバイスの特定事項とデバイスのデバイス情報との照合処理）を行うことが可能である。さらに、デバイスから取り出し可能な情報に基づいて接続許可リストの特定事項を設定すればよいので、従来のデバイスにも対応することができる。
【００３１】
以下、実施の形態を、ＰＣに適用し、ＵＳＢポートに接続される接続デバイスの接続制限を行う場合を例に図面を参照して詳細に説明する。
図３は、本実施の形態の接続デバイス制限装置が組み込まれるＰＣのハードウェア構成例を示すブロック図である。
【００３２】
ＰＣ１０は、ＣＰＵ（Central Processing Unit）１１によって装置全体が制御されている。ＣＰＵ１１には、バス１９を介してＲＡＭ（Random Access Memory）１２、ハードディスクドライブ（ＨＤＤ：Hard Disk Drive）１３、グラフィック処理装置１４、入力インタフェース１５、通信インタフェース１６、ＵＳＢインタフェース１７、ＩＥＥＥ１３９４インタフェース１８が接続されている。
【００３３】
ＲＡＭ１２には、ＣＰＵ１１に実行させるＯＳのプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、ＲＡＭ１２には、ＣＰＵ１１による処理に必要な各種データが格納される。ＨＤＤ１３には、ＯＳやアプリケーションのプログラムが格納される。グラフィック処理装置１４には、モニタ２１が接続されており、ＣＰＵ１１からの命令に従って画像をモニタ２１の画面に表示させる。入力インタフェース１５には、キーボード２２ａやマウス２２ｂが接続されており、キーボード２２ａやマウス２２ｂから送られてくる信号を、バス１９を介してＣＰＵ１１に送信する。通信インタフェース１６は、ネットワーク２３に接続されており、ネットワーク２３を介して他装置との間でデータの送受信を行う。ＵＳＢインタフェース１７には、ＵＳＢポートを介してＵＳＢ機器２４ａ、２４ｂが接続されており、ＵＳＢ機器２４ａ、２４ｂから送られてくる信号を、バス１９を介してＣＰＵ１１に送るとともに、ＣＰＵ１１からの命令に従ってＵＳＢ機器２４ａ、２４ｂに信号を送信する。ＵＳＢ機器には、たとえば、スキャナなどの入力機器や、プリンタなどの出力機器、外部メモリなど、さまざまな種類がある。なお、キーボード２２ａやマウス２２ｂもＵＳＢインタフェース１７を介して接続することもできる。ＩＥＥＥ１３９４インタフェース１８には、ＩＥＥＥ１３９４対応機器が接続され、他のインタフェースと同様に、ＩＥＥＥ１３９４対応機器とＣＰＵ１１との間のデータ交換を制御する。
【００３４】
このようなハードウェア構成によって、本実施の形態の処理機能を実現することができる。
次に、ＵＳＢインタフェースについて詳細に説明する。図４は、本実施の形態のＵＳＢインタフェースの構成例を示すブロック図である。図４では、図３に示したＰＣの他の部分は省略している。
【００３５】
ｎ台のＵＳＢインタフェース１７ａ、・・・、１７ｂは、それぞれＰＣＩバス１７ｃを経由してＰＣ本体に接続する。各ＵＳＢインタフェース、たとえば、ＵＳＢインタフェース１（１７ａ）は、ＵＳＢホストコントローラ１（１７１ａ）、ルートハブ１７２ａ、ＵＳＢポート１７６ａ、１７６ｂを備えており、ＵＳＢポート１７６ａ、１７６ｂに接続されたデバイスの情報がルートハブ１７２ａ、ＵＳＢホストコントローラ１（１７１ａ）を通過する。さらに、ＰＣ本体に設けられたＵＳＢポート１７６ａからハブ１７７ａを経由してＵＳＢポート１７８ａ、１７８ｂが接続される場合もある。接続デバイス制限装置１７３ａは、接続制限手段１７３１と接続許可リストを記憶するリスト記憶手段１７３２及び設定インタフェース１７３３を有し、このＵＳＢホストコントローラ１（１７１ａ）またはルートハブ１７２ａ、もしくはその間に設置され、上記ルートを流れる情報を操作してデバイスの利用制限を行う。設定インタフェース１７３３は、ＰＣ内に用意された設定アプリケーションにより作成された接続許可リストを取得し、リスト記憶手段１７３２に格納する処理を行う。また、接続制限手段１７３１は、上記ルートを流れる情報を取り出し、リスト記憶手段１７３２に格納される接続許可リストに基づき、デバイスの接続が許可されれば情報がＰＣＩバス１７ｃ経由でＰＣ内部に伝達されるのを許可し、接続が許可されない場合は、情報がＰＣ内部に伝達されるのを禁止する。詳細な処理手順は後述する。
【００３６】
ＵＳＢインタフェースｎ（１７ｂ）も同様に、ＵＳＢホストコントローラｎ（１７１ｂ）、ルートハブ１７２ｂ、ＵＳＢポート１７６ｃ、１７６ｄを備えており、ＵＳＢホストコントローラｎ（１７１ｂ）またはルートハブ１７２ｂ、もしくはその間に接続デバイス制限装置１７３ｂが設けられる。
【００３７】
このように、接続デバイス制限装置をデバイスから情報が流れ込む接続ポートに近い地点に配置し、デバイスの利用制限を行う。
なお、接続デバイス制限装置を各ＵＳＢポートに設けるとすることもできるが、図４から明らかなように、ＵＳＢポート数のデバイス接続制限装置を設けるとするとコストが膨大となり、現実的でない。
【００３８】
ここで、ＵＳＢポートに接続するＵＳＢデバイスから得られる情報について説明する。ＵＳＢのドライバインタフェースの仕様（ＯｐｅｎＵＳＢＤＩ；Open Universal Serial Bus Driver Interface）では、ＵＳＢデバイスは、管理エージェントからのＵＳＢデバイスのデバイス情報の要求に対し、デバイスに関する記述で構成されるＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲを送る。
【００３９】
図５は、ＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲの構成を示している。図は、本実施の形態に係る部分を抜き出して示している。
ＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲには、ベンダーＩＤ２０１、プロダクトＩＤ２０２、デバイスクラス２０３、デバイスサブクラス２０４、シリアル番号インデックス２０５などのフィールドを有する。ベンダーＩＤフィールド２０１には、ＵＳＢデバイスワーキンググループにより決められたベンダーのＩＤが設定される。プロダクトＩＤフィールド２０２には、同様に製品ごとに決められた製品のＩＤが設定される。デバイスクラスフィールド２０３には、同様にして決められたデバイスのクラスコードが設定され、デバイスサブクラスフィールド２０４には、サブクラスコードが設定される。たとえば、デバイスクラスフィールドの値が９であれば、デバイスはＵＳＢハブである。また、シリアル番号インデックスフィールド２０５には、ＡＳＣＩＩコードで記述されたシリアル番号の場所を示す情報が設定される。
【００４０】
このように、ＵＳＢデバイスから得られるデバイスの記述情報（ＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲ）を用いてＵＳＢデバイスの接続許可リストを設定し、ＵＳＢデバイスの利用制限を行う。
【００４１】
次に、ＵＳＢデバイスの利用制限処理について説明する。なお、従来では、ＵＳＢデバイスが接続ポートに接続されたことがＯＳに通知されると、ＯＳは、接続されたＵＳＢデバイスの記述情報（ＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲ）を要求していた。上記の説明では、ＵＳＢデバイスが接続ポートに接続されると、接続デバイス制限装置に通知され、接続デバイス制限装置が接続許可と判定した場合にＯＳにデバイスの接続が通知されるとしたが、一旦、ＯＳに対しＵＳＢデバイスの接続を通知し、ＯＳから発行されるＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲの応答を制御することによっても同等の機能が実現する。
【００４２】
以下、ＯＳが発行したＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲの応答を制御して利用制限を行う場合について説明する。なお、接続許可リストは、図２に示した構成とし、強度が増すごとにベンダーＩＤ、プロダクトＩＤ、シリアル番号と特定事項が増え、例外情報として、ＵＳＢハブデバイスを常に許可するという設定とすべてのＨＩＤデバイスに対して許可または禁止の設定がされているとする。
【００４３】
図６は、本実施の形態のＵＳＢデバイスの接続制限処理手順を示したフローチャートである。
ＯＳからターゲットのＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲの取り出し要求を受け、処理が開始される。
【００４４】
［ステップＳ１１］ 接続ポートに接続されたターゲットのＵＳＢデバイスからＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲを取り出す。ＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲには、図５に示したような、ターゲットのデバイスのベンダーＩＤ、プロダクトＩＤ、デバイスクラス、シリアル番号インデックス、他の情報を取り出すポインタ情報などが含まれている。
【００４５】
［ステップＳ１２］ まず、例外情報を処理する。ターゲットデバイスがＵＳＢハブであるかどうかを判定する。デバイスクラスフィールドの値が９であれば、デバイスはＵＳＢハブである。図２からＵＳＢハブの場合は、常に許可であるので、処理をステップＳ１８へ進める。
【００４６】
［ステップＳ１３］ ターゲットデバイスがＵＳＢハブでない場合、ターゲットデバイスからさらにＵＳＢ＿ＣＯＮＦＩＧＵＲＡＴＩＯＮ＿ＤＥＳＣＲＩＰＴＯＲを取り出す。
［ステップＳ１４］ 例外情報としてＨＩＤデバイスを常に有効とする設定で、かつ、ターゲットデバイスはＨＩＤデバイスかどうかを判定する。例外情報が、ＨＩＤデバイスを常に許可するという設定であった場合、ターゲットがＨＩＤデバイスであるかどうかを確認する。ＵＳＢ＿ＣＯＮＦＩＧＵＲＡＴＩＯＮ＿ＤＥＳＣＲＩＰＴＯＲ内のＵＳＢ＿ＩＮＴＥＲＦＡＣＥ＿ＤＥＳＣＲＩＰＴＯＲ内のインタフェースクラスフィールドの値が３であれば、ＨＩＤデバイスである。ターゲットがＨＩＤデバイスで、かつ例外情報にＨＩＤデバイスを許可する設定がされていた場合、処理をステップＳ１８へ進める。
【００４７】
［ステップＳ１５］ ステップＳ１２からステップＳ１４の例外情報チェックで接続許可とならなかった場合、ターゲットが接続許可リストの許可デバイスと一致するかどうかを照合する。ＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲのシリアル番号インデックスに基づき、ターゲットのＵＳＢ＿ＳＴＲＩＮＧ＿ＤＥＳＣＲＩＰＴＯＲからシリアル番号を取り出す。ベンダーＩＤとプロダクトＩＤは、ＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲよりすでに得られている。
【００４８】
［ステップＳ１６］ ターゲットのベンダーＩＤ、プロダクトＩＤ及びシリアル番号を接続許可リストに登録された１からｎまでの許可デバイスのベンダーＩＤ、プロダクトＩＤ、シリアル番号と照合する。このとき、登録された強度が１であればベンダーＩＤ、２であればベンダーＩＤとプロダクトＩＤ、３であればベンダーＩＤ、プロダクトＩＤ及びシリアル番号のすべてと照合する。ターゲットが許可デバイスに相当する場合、処理をステップＳ１８へ進める。
【００４９】
［ステップＳ１７］ ターゲットは許可デバイスに相当しない場合、ＯＳに対しエラーを返し処理を終了する。これにより、ＯＳはターゲットが正常動作していないとみなし、接続を行わない。すなわち、ターゲットの利用ができない。また、必要に応じて、利用制限がかかっていることをモニタなどに表示するようにしてもよい。
【００５０】
［ステップＳ１８］ ターゲットは許可デバイスに相当するので、取り出したＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲをＯＳに返し処理を終了する。ＯＳは、ターゲット正常とみなし、ターゲットの利用を可能にする。
【００５１】
以上の処理手順が実行されることにより、接続許可リストに基づき、不必要なデバイスの利用が制限される。接続デバイス制限装置は、ＯＳのＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲ要求を監視し、検出したときには、上記手順を実行する。接続時にエラーが検出されると、ＯＳはターゲットの接続を行わないので、以降、ターゲットは利用できなくなる。
【００５２】
このような接続デバイス制限処理によれば、デバイスの利用制限を運用に合わせて任意に設定できるとともに、ＯＳ及びターゲットのＵＳＢデバイスの双方の処理を変更する必要がないため、現システムに容易に適用できるという利点がある。
【００５３】
以上、ＵＳＢポートを介して接続する接続デバイスの接続制限の場合について説明したが、本発明は、ＩＥＥＥ１３９４ポートなど、その他の接続ポートに接続する接続デバイスの接続制限にも適用することができる。
【００５４】
また、上記の説明では、接続許可リストをＰＣで共通としたが、ＰＣは利用者ごとにユーザアカウントを設定し、それぞれに利用することができる。そこで、接続許可リストをユーザアカウントごとに設け、デバイスの利用制限を利用者ごとに設定する。
【００５５】
図７は、本実施の形態のユーザアカウントごとに接続許可リストを有する接続デバイス制限装置の構成図である。
接続デバイス制限装置３１０は、すべての利用者で共通の接続許可リスト３１１、ユーザごとの接続許可リスト（ユーザ１用）３１２、接続許可リスト（ユーザ２用）３１３及び接続制限手段３１４を有する。図の例では、接続許可リストを設定する許可リスト設定手段３５０は、接続デバイス制限装置３１０外に設けられている。さらに、設定ファイル更新判定手段３４０と、接続許可リスト選択手段３２０が設けられる。なお、接続許可リスト選択手段３２０、設定ファイル更新判定手段３４０及び許可リスト設定手段３５０は、接続デバイス制限装置３１０が搭載されるコンピュータが、接続デバイス制限プログラムもしくは関連するインタフェース処理プログラムを実行することにより、その処理機能を実現する。
【００５６】
接続デバイス制限装置３１０の接続許可リスト３１１は、全利用者に共通で、ユーザアカウントに関わらず接続制限手段３１４によって参照される。接続許可リスト（ユーザ１用）３１２及び接続許可リスト（ユーザ２用）３１３は、ユーザアカウントごとに選択されて接続制限手段３１４に参照される。
【００５７】
接続許可リスト選択手段３２０は、ＯＳのログオン処理３３０によりログオンされたユーザアカウントを検出し、該当する接続許可リストを選択し、接続制限手段３１４に通知する。また、ＯＳのログオフでは、選択している接続許可リストを非選択とするように接続制限手段３１４に指示する。
【００５８】
設定ファイル更新判定手段３４０は、後述する設定ツールによって接続許可リストが更新されたことを検出すると、これを許可リスト設定手段３５０に通知する。また、更新の指示は、接続許可リストを更新した管理者からの通知で行うこともできる。
【００５９】
許可リスト設定手段３５０は、設定ファイルが更新されたことを検出すると、該当する接続許可リストを更新する。
このような接続デバイス制限装置３１０の動作について説明する。
【００６０】
ＰＣ起動時のデフォルトの状態では、接続許可リスト選択手段３２０は、いずれのユーザ用の接続許可リストも選択しておらず、接続制限手段３１４は、接続許可リスト（共通用）３１１を用いてデバイスの接続制限処理を行う。
【００６１】
ＯＳのログオン処理３３０により、ユーザアカウントが設定されると、接続許可リスト選択手段３２０を通じて、ログオンされたユーザアカウントに応じてユーザｎ用の接続許可リスト（ユーザ１用３１２もしくはユーザ２用３１３）が選択される。接続制限手段３１４は、選択された接続許可リスト（ユーザ１用３１２もしくはユーザ２用３１３）及び接続許可リスト（共通用）３１１を用いてデバイスの接続制限処理を行う。
【００６２】
そして、ＯＳのログオフ処理が行われると、接続許可リスト選択手段３２０を通じて、ログオフされたユーザアカウントに応じてユーザｎ用の接続許可リスト（ユーザ１用３１２もしくはユーザ２用３１３）を非選択にする。接続制限手段３１４は、接続許可リスト（共通用）３１１のみを用いてデバイスの接続制限処理を行う。
【００６３】
このように、ログオン及びログオフに応じて、選択する接続許可リストを可変にすることにより、利用者に応じてデバイスの利用制限を行うことが可能となる。
次に、接続許可リストの更新について説明する。
【００６４】
管理者が設定ツールを用いて接続許可リストを設定すると、設定ファイル更新判定手段３４０は、これを自動検出または管理者側の通知により検出し、許可リストの更新指示を許可リスト設定手段３５０へ出力する。許可リスト設定手段３５０は、更新された許可リストを接続デバイス制限装置３１０の該当するリスト記憶手段に格納する。接続制限手段３１４は、更新された接続許可リストに従って、デバイスの接続制限処理を行う。
【００６５】
なお、更新された許可リストにおいて、すでに接続が許可されているデバイスについて接続許可が取り消されている場合には、ＯＳを再起動することにより、そのデバイスの接続を禁止する。ＯＳの再起動は、たとえば、許可リスト設定手段３５０が、ＯＳの再起動が必要であることを検出し、その通知をモニタなどに表示することによって、利用者にＯＳの再起動を促すことによって行う。
【００６６】
ここで、設定ツールについて、設定ツール画面の一例を用いて説明する。図８は、本実施の形態の設定ツール画面の一例を示した図である。
設定ツール画面４０１は、更新の対象とする設定ファイル（接続許可リスト）を選択するフィールド４０２と、対象ユーザを共通とするか特定ユーザとするかを選択するユーザ選択フィールド４０３を有している。変更を行う管理者は、対象の設定ファイルをと対象ユーザを設定し、設定処理を次へ進める「接続を許可するデバイスの登録」ボタン４０４を操作する。
【００６７】
対象の設定ファイルと対象ユーザが設定され、「接続を許可するデバイスの登録」ボタン４０４が操作されると、表示は、接続を許可するデバイスの登録画面に遷移する。
図９は、本実施の形態の接続を許可するデバイスの登録画面の一例を示した図である。
【００６８】
接続を許可するデバイスの登録画面４０５では、まず、対象のデバイスが属する種別（図の例では、ＵＳＢ、ＦＤＤ（Floppy（登録商標） Disk Drive）、ＩＥＥＥ１３９４、シリアル／パラレル）を選択する。以下、ＵＳＢ４０６を選択した場合で説明する。
【００６９】
ＵＳＢ４０６を選択すると、例外情報の項目として、「すべて許可する」４０７と「すべて許可しない」４０８と、許可デバイスを設定する項目として「指定したデバイスを許可する」４０９の選択が表示される。「すべて許可する」４０７が選択されると、すべてのＵＳＢデバイスの接続を許可するように例外情報が設定される。一方、「すべて許可しない」４０８が選択されると、すべてのＵＳＢデバイスの接続を禁止するように例外情報が設定される。また、「指定したデバイスを許可する」４０９が選択されると、さらに、指定されているデバイスフィールド４１０が表示され、選択された設定ファイルに現在設定されているデバイスの一覧が表示される。指定されているデバイスフィールド４１０を書き換えることによって、許可デバイスの設定が変更される。なお、図の例の「ＨＩＤデバイスすべて」という設定がされた場合は、例外情報の設定が行われる。
【００７０】
さらに、ＵＳＢデバイスを接続許可リストに追加する場合、指定を容易にするため、たとえば、追加ＵＳＢ画面を表示する。図１０は、本実施の形態の追加ＵＳＢ画面の一例を示した図である。
【００７１】
追加ＵＳＢ画面４１１では、デバイスの固有ＩＤを入力して許可デバイスを設定する固有ＩＤ設定画面フィールド４１２の他、種類を指定する種類指定フィールド４１３、接続中のデバイスから指定する接続中デバイス指定フィールド４１４を有する。管理者は、最も使いやすいフィールドを用いてデバイスの指定を行う。
【００７２】
以上のように、各デバイスの設定画面では、どの装置を接続許可するかを指定する画面を持つ。指定画面では、デバイスの能力に応じて、最も一意性を確認できる方法を用意する。たとえば、ＵＳＢの場合には、ベンダーＩＤ／プロダクトＩＤ／シリアル番号で特定する。また、設定を容易にするため、種類を指定する方法も持つ。たとえば、セキュリティ上心配が低いＨＩＤデバイスなどについては、そのデバイスのカテゴリであればどのようなデバイスであっても接続を許可するような指定を可能とする。加えて、現在接続中のデバイスから指定する方法も持つ。
【００７３】
以上、実施の形態をＵＳＢに適用した場合で説明したが、たとえば、ＯＳにプラグアンドプレイ（以下、ＰｎＰとする）の機構が備わっている場合には、コンピュータ起動時及びデバイス装着時のメッセージに介入することでデバイスの利用制限を行うことができる。
【００７４】
以下、Ｗｉｎｄｏｗｓ２０００／ＸＰ（登録商標）の場合で説明する。
スタート時もしくはデバイス装着時には、ＯＳのＰｎＰマネージャーによりＩＲＰ＿ＭＪＰＮＰ／ＩＲＰ＿ＭＮ＿ＳＴＡＲＴ＿ＤＥＶＩＣＥのリクエストが発行される。各デバイスドライバは、そのリクエストをもとにデバイスの使用を開始させる。そこで、すべてのＩＲＰ＿ＭＪＰＮＰ／ＩＲＰ＿ＭＮ＿ＳＴＡＲＴ＿ＤＥＶＩＣＥを受け取れるルート上に接続デバイス制限装置を設ける。
【００７５】
接続デバイス制限装置では、ＩＲＰ＿ＭＪＰＮＰ／ＩＲＰ＿ＭＮ＿ＳＴＡＲＴ＿ＤＥＶＩＣＥを受け取り、そのデバイスに対してデバイスの一意性を調べることが可能な情報を得る。たとえば、ＵＳＢの場合には、ＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲやＵＳＢ＿ＣＯＮＦＩＧＵＲＡＴＩＯＮ＿ＤＥＳＣＲＩＰＴＯＲ、シリアル番号のためのＵＳＢ＿ＳＴＲＩＮＧ＿ＤＥＳＣＲＩＰＴＯＲがこれに相当する。
【００７６】
そして、ターゲットのデバイスから取り出した情報が接続許可リストに含まれているかどうかを照合し、含まれている場合には、これまで通りの処理を行う。すなわち、ＩＲＰ＿ＭＪＰＮＰ／ＩＲＰ＿ＭＮ＿ＳＴＡＲＴ＿ＤＥＶＩＣＥをそのままＯＳに返し、介入はしなかったように振舞うことで、そのデバイスの使用を開始する。一方、ターゲットから取り出した情報が接続許可リストに含まれていない場合は、ＩＲＰ＿ＭＪＰＮＰ／ＩＲＰ＿ＭＮ＿ＳＴＡＲＴ＿ＤＥＶＩＣＥのリクエストを失敗させるように、そのリクエストの戻り値を失敗に設定する。これにより、そのデバイスの使用を開始できず、そのデバイスは利用不可能となる。
【００７７】
なお、上記の処理機能は、コンピュータによって実現することができる。その場合、接続デバイス制限装置が有すべき機能の処理内容を記述したプログラムが提供される。そのプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリなどがある。磁気記録装置には、ハードディスク装置（ＨＤＤ）、フレキシブルディスク（ＦＤ）、磁気テープなどがある。光ディスクには、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ（Random Access Memory）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）などがある。光磁気記録媒体には、ＭＯ（Magneto-Optical disk）などがある。
【００７８】
プログラムを流通させる場合には、たとえば、そのプログラムが記録されたＤＶＤ、ＣＤ−ＲＯＭなどの可搬型記録媒体が販売される。また、プログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することもできる。
【００７９】
プログラムを実行するコンピュータは、たとえば、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、自己の記憶装置に格納する。そして、コンピュータは、自己の記憶装置からプログラムを読み取り、プログラムに従った処理を実行する。なお、コンピュータは、可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することもできる。また、コンピュータは、サーバコンピュータからプログラムが転送されるごとに、逐次、受け取ったプログラムに従った処理を実行することもできる。
【００８０】
（付記１） コンピュータに接続して利用される接続デバイスの利用制限を行う接続デバイス制限プログラムにおいて、
コンピュータに、
接続を許可する接続許可デバイスを規定する接続許可リストを設定し、リスト記憶手段に保存するステップと、
前記接続デバイスが接続されると、前記接続デバイスから前記接続デバイスに関するデバイス情報を取得するステップと、
取得した前記デバイス情報を用いて前記接続デバイスが前記接続許可リストに登録された前記接続許可デバイスに相当するかどうかを照合するステップと、
前記接続デバイスが前記接続許可デバイスに相当する場合は接続を許可し、それ以外の場合は接続を禁止するステップと、
を実行させることを特徴とする接続デバイス制限プログラム。
【００８１】
（付記２） コンピュータに、
前記接続許可リストを設定するステップでは、前記接続許可デバイスを特定するための情報量を必要に応じて可変とし、利用者もしくは管理者が所望する接続許可対象に応じて前記接続許可デバイスを特定するための特定事項を任意の項目数設定する、
手順を実行させることを特徴とする付記１記載の接続デバイス制限プログラム。
【００８２】
（付記３） コンピュータに、
前記接続デバイスが前記接続許可デバイスに相当するかどうかを照合するステップでは、前記接続許可デバイスに設定された項目数すべての前記特定事項に前記接続デバイスが一致するかどうかを照合する、
手順を実行させることを特徴とする付記２記載の接続デバイス制限プログラム。
【００８３】
（付記４） コンピュータに、
前記接続デバイスの接続を許可もしくは禁止するステップでは、前記接続デバイスに関する処理を実行する処理部に対し、接続が許可された場合には、前記接続デバイスが接続されたことを通知し、接続が禁止された場合には前記接続デバイスが接続されたことを通知しない、
手順を実行させることを特徴とする付記１記載の接続デバイス制限プログラム。
【００８４】
（付記５） コンピュータに、
前記接続許可リストを設定するステップでは、前記接続許可デバイスを特定するための特定事項として、前記接続許可デバイスの種別を設定し、
前記接続デバイスが前記接続許可デバイスに相当するかどうかを照合するステップでは、前記接続デバイスが前記接続許可リストに設定された前記接続許可デバイスの種別と一致するかどうかを照合する、
手順を実行させることを特徴とする付記１記載の接続デバイス制限プログラム。
【００８５】
（付記６） コンピュータに、
前記接続許可リストを設定するステップでは、さらに、必要に応じて、前記接続許可デバイスの種別に相当する前記接続デバイスの接続をすべて禁止する設定を行い、
前記接続デバイスが前記接続許可デバイスに相当するかどうかを照合するステップでは、前記接続デバイスが前記接続許可リストに設定された前記接続許可デバイスの種別と一致し、接続禁止が設定されていた場合には、該当する前記接続デバイスの接続を禁止する、
手順を実行させることを特徴とする付記５記載の接続デバイス制限プログラム。
【００８６】
（付記７） コンピュータに、
前記接続許可リストを設定するステップでは、前記接続許可デバイスとして設定されるデバイス数を前記接続許可リストに設定し、
前記接続デバイスが前記接続許可デバイスに相当するかどうかを照合するステップでは、前記接続デバイスが前記接続許可デバイスに相当するかどうかを前記接続許可デバイスとして設定されたデバイス数分照合する、
手順を実行させることを特徴とする付記１記載の接続デバイス制限プログラム。
【００８７】
（付記８） コンピュータに、
前記接続許可リストを設定するステップでは、前記接続許可リストを利用者共通もしくは利用者ごとに設定し、
前記接続デバイスが前記接続許可デバイスに相当するかどうかを照合するステップでは、前記利用者に応じて選択される前記接続許可リストを照合に使用する、
手順を実行させることを特徴とする付記１記載の接続デバイス制限プログラム。
【００８８】
（付記９） コンピュータに、
前記接続許可リストを設定するステップでは、前記利用者ごとの前記接続許可リストを前記利用者のユーザアカウントに関連付けて記憶しておき、ログオン時に選択された前記ユーザアカウントに対応する前記接続許可リストを選択し、ログオフ時に選択されていた前記ユーザアカウントに対応する前記接続許可リストを非選択とする、
手順を実行させることを特徴とする付記８記載の接続デバイス制限プログラム。
【００８９】
（付記１０） コンピュータに接続して利用される接続デバイスの利用制限を行う接続デバイス制限装置において、
接続を許可する接続許可デバイスを規定する情報に基づいて接続許可リストを設定する許可リスト設定手段と、
前記接続許可リストを保存するリスト記憶手段と、
前記接続デバイスが接続されると、前記接続デバイスから前記接続デバイスに関するデバイス情報を取得し、前記デバイス情報を用いて前記接続デバイスが前記接続許可リストに登録された前記接続許可デバイスに相当するかどうかを照合し、相当する場合には前記接続デバイスの接続を許可し、それ以外の場合は接続を禁止する接続制限手段と、
を有することを特徴とする接続デバイス制限装置。
【符号の説明】
【００９０】
１ 接続デバイス制限装置
１ａ 接続許可リスト
１ｂ リスト記憶手段
１ｃ 許可リスト設定手段
１ｄ 接続制限手段
１ｅ インタフェース
２ａ、２ｂ、２ｃ 接続ポート
３ ＯＳ／ドライバ
【技術分野】
【０００１】
本発明はプログラム、制限方法及びコンピュータに関し、特にコンピュータに接続して利用されるデバイスの利用制限を行うプログラム、制限方法及びコンピュータに関する。
【背景技術】
【０００２】
オフィスや家庭で使用されるコンピュータ、たとえば、パーソナルコンピュータ（以下、ＰＣとする）には、周辺機器や拡張カード（以下、総称してデバイスとする）などが接続された場合に、デバイスドライバの組み込みと設定を自動的に行う機能が組み込まれている。たとえば、キーボードやマウス、外部記憶装置など、さまざまな周辺デバイスと簡単に接続するために、ＵＳＢ（Universal Serial Bus）に代表される接続デバイスが装備されている。
【０００３】
ＵＳＢデバイスには、ＰＣに接続時、基本ソフトであるＯＳ（Operating System）からの要求に応じてデバイス種別などの情報を送信する機能が組み込まれている。
図１１は、従来のＵＳＢデバイスのデバイス情報読み出し手順を示したフローチャートである。ＵＳＢデバイスが接続ポートに接続されたことがＯＳに通知されると、ＯＳは、接続されたＵＳＢデバイスのデバイス情報を要求し、ターゲットのＵＳＢデバイス情報を抽出する（ステップＳ９１）。そして、抽出したＵＳＢデバイス情報をＯＳに返す（ステップＳ９２）。こうして、ＵＳＢデバイス情報を取得したＯＳは、接続デバイスのデバイス種類などを認識し、この接続デバイスが利用できるように処理を行う。このような仕組みにより、ＵＳＢに新たに接続されたデバイスがすぐに利用できるようになっている。
【０００４】
しかしながら、このように周辺デバイスを容易に接続できるようになると、ＰＣからの情報の漏洩、もしくはＰＣへの不必要な情報の持ち込みが発生するなど、セキュリティ上の問題が生じる。
【０００５】
そこで、周辺デバイスのカテゴリに応じて利用を制限する手法が提案されている。たとえば、「ストレージ」というカテゴリを設定すれば、ストレージ・デバイスを接続して利用することができなくなる。
【０００６】
また、コンピュータに接続端末の製造番号を登録しておき、接続許可を要求している接続端末の製造番号と登録している製造番号を照合し、一致する場合のみ接続を許可する接続照合システムが提案されている（たとえば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００３−６１６６号公報（段落番号〔０００７〕〜〔００１９〕、図１）
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかし、従来のデバイス制限では、詳細な利用制限を設定することができない、もしくは、煩雑な設定作業が必要になるなど使い勝手が悪く、不必要なデバイスの利用を防止できないという問題点があった。
【０００９】
カテゴリで利用制限をかける場合、利用制限の判定処理は、アプリケーションプログラムに近いレベル、すなわち、デバイスに関する情報が抽象化されて細かい個別情報を知ることのできない段階で行われるため、個別のデバイスに対する利用制限ができないという問題点がある。たとえば、「ストレージ」というカテゴリで利用制限をかけると、すべてのストレージの接続ができなくなってしまう。また、既存のカテゴリにしか利用制限をかけることができないという問題点もある。
【００１０】
一方、製造番号を照合して接続可否を判断する接続照合システムでは、許可する端末ごとに製造番号をすべて登録しなければならず、システムが大規模になると登録台数も増加し、登録作業が煩雑になるという問題点があり、登録ミスも発生しやすい。さらに、接続可否の判定しか行われず、読み出しは許可するが書き込みは許可しないなど、細かい対応ができない。
【００１１】
このように、従来の接続デバイス制限では、既存のカテゴリごとの利用制限、もしくは、個々のデバイスの接続制限といった対応しかできず、使用者、メーカー、製品、利用する接続デバイス、利用形態、というようなさまざまな設定で利用制限を行うことができなかった。たとえば、「Ａ氏に、Ｘ社製のＹという製品名のＺという個体識別番号を持つＵＳＢメモリのみを利用可能とし、他のＵＳＢメモリ及びＵＳＢデバイスは利用禁止とする」というような運用には適応できなかった。このため、所望の運用ができない場合や、設定漏れやミスなどが発生する可能性が高く、結果として不必要な利用を防止できないというセキュリティ上の問題が生じた。
【００１２】
本発明はこのような点に鑑みてなされたものであり、コンピュータに接続して利用可能なデバイスを、デバイス種類や個体指定、ユーザ指定など任意の設定条件で制限することにより、不必要なデバイスの利用を防止し、セキュリティを高めることが可能なプログラム、制限方法及びコンピュータを提供することを目的とする。
【課題を解決するための手段】
【００１３】
本発明では上記課題を解決するために、コンピュータに接続して利用されるデバイスの利用制限を行うプログラムが提供される。本発明に係るプログラムは、コンピュータに、コンピュータに接続して利用することを許容するデバイスの特定を、複数の特定方法のうち、いずれの特定方法によるものでも許容する。複数の特定方法は、少なくとも、デバイス固有のＩＤを用いて特定する方法と、プロダクトＩＤ又はベンダーＩＤを用いて特定する方法とを含み、接続されたデバイスから、該デバイス固有のＩＤと、プロダクトＩＤ又はベンダーＩＤとを含むデバイス情報を取得させる。デバイス固有のＩＤを用いて特定する方法により利用することを許容するデバイスが特定される場合、少なくとも、デバイス情報に含まれるデバイス固有のＩＤを用いて該デバイスの利用を制限するか否かを判定する。プロダクトＩＤ又はベンダーＩＤを用いて特定する方法により利用することを許容するデバイスが特定される場合、少なくとも、デバイス情報に含まれるプロダクトＩＤ又はベンダーＩＤを用いて該デバイスの利用を制限するか否かを判定させる。
【００１４】
また、上記課題を解決するために、上記の処理手順を実行する制限方法及びコンピュータが提供される。
【発明の効果】
【００１５】
本発明では、デバイスが接続ポートに接続されると、デバイスからデバイス情報を取り出し、このデバイスが、このコンピュータに接続して利用することが許容されるデバイスに相当するかどうかを判定し、判定結果に応じて、接続されたデバイスの利用制限を実行する。このため、管理者は利用者が利用できるデバイスを運用状況に合わせて所望の条件で制限することが可能となる。また、接続許可リストに接続を許可するデバイスを規定するために必要な特定事項を設定しておけば、不必要なデバイスの利用を防止し、セキュリティを高めることが可能となる。
【図面の簡単な説明】
【００１６】
【図１】実施の形態に適用される発明の概念図である。
【図２】接続許可リストの一例を示す構成図である。
【図３】本実施の形態の接続デバイス制限装置が組み込まれるＰＣのハードウェア構成例を示すブロック図である。
【図４】本実施の形態のＵＳＢインタフェースの構成例を示すブロック図である。
【図５】ＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲの構成を示している。
【図６】本実施の形態のＵＳＢデバイスの接続制限処理手順を示したフローチャートである。
【図７】本実施の形態のユーザアカウントごとに接続許可リストを有する接続デバイス制限装置の構成図である。
【図８】本実施の形態の設定ツール画面の一例を示した図である。
【図９】本実施の形態の接続を許可するデバイスの登録画面の一例を示した図である。
【図１０】本実施の形態の追加ＵＳＢ画面の一例を示した図である。
【図１１】従来のＵＳＢデバイスのデバイス情報読み出し手順を示したフローチャートである。
【発明を実施するための形態】
【００１７】
以下、本発明の実施の形態を図面を参照して説明する。まず、実施の形態に適用される発明の概念について説明し、その後、実施の形態の具体的な内容を説明する。
図１は、実施の形態に適用される発明の概念図である。
【００１８】
本発明に係る接続デバイス制限装置１は、コンピュータ内部のＯＳ／ドライバ３などのソフトウェア群と、周辺機器である接続デバイス（以下、デバイスとする）を接続するための接続ポート２ａ、２ｂ、２ｃとの間の情報が流れるルート上に位置し、接続ポート２ａ、２ｂ、２ｃを介して接続されるデバイスとＯＳ／ドライバ３との間のデータ交換を制御する。接続デバイス制限装置１は、接続許可デバイス（以下、許可デバイスとする）を規定する接続許可リスト１ａを格納するリスト記憶手段１ｂ、接続許可リスト１ａを設定する許可リスト設定手段１ｃ、接続制限を行う接続制限手段１ｄ及び接続ポート２ａ、２ｂ、２ｃを介したデータ転送を制御するインタフェース１ｅを有する。
【００１９】
リスト記憶手段１ｂは、接続許可リスト１ａを記憶する記憶手段で、許可リスト設定手段１ｃ及び接続制限手段１ｄからアクセス可能である。接続許可リスト１ａには、接続を許可する許可デバイスを規定する情報、すなわち、許可デバイスを特定するための情報が含まれている。詳細は後述するが、この特定するための情報の情報量は、利用制限の運用に応じて可変とし、許可デバイスを特定するための項目（以下、特定事項とする）の項目数は接続許可対象に応じて決まる。たとえば、特定項目として、ベンダー名、プロダクト名がある場合、特定事項がベンダー名であれば、該当するベンダー名のデバイスの接続が許可され、特定事項がベンダー名とプロダクト名であれば、さらにプロダクト名が一致したものが接続許可される。また、ＨＩＤ（Human Input Device）というようなデバイス種別ごとに接続を許可するような設定も可能とする。
【００２０】
許可リスト設定手段１ｃは、接続許可リスト１ａに登録される情報を取得し、接続許可リスト１ａを設定してリスト記憶手段１ｂに格納する。なお、接続許可リスト１ａを作成するため利用者に登録を促す設定アプリケーションは、許可リスト設定手段１ｃ外部に格納しておき、許可リスト設定手段１ｃでは作成された接続許可リスト１ａを入力してリスト記憶手段１ｂに格納する処理を行うとする構成をとることもできる。
【００２１】
接続制限手段１ｄは、接続ポート２ａ、２ｂ、２ｃにデバイスが接続されたことをインタフェース１ｅより取得すると、そのデバイスを特定するためのデバイス情報をインタフェース１ｅ経由で取り出す（ステップＳ１）。そして、取り出したデバイス情報を用いて、接続されたデバイスと接続許可リスト１ａの許可デバイスとを照合する（ステップＳ２）。デバイスが接続許可リスト１ａの許可デバイスに相当する場合、このデバイスの接続を許可し、相当しない場合には接続を禁止する（ステップＳ３）。
【００２２】
インタフェース１ｅは、接続制限手段１ｄと接続ポート２ａ、２ｂ、２ｃに接続するデバイスとの間のデータ交換を制御する。すなわち、デバイスから取得した情報は接続制限手段１ｄへ伝え、接続制限手段１ｄから取得した情報はデバイスに伝達する。
【００２３】
なお、上記の説明の接続デバイス制限装置１の各処理手段は、コンピュータが接続デバイス制限プログラムを実行することにより実現することができる。また、ハードウェアで実現することも、双方を組み合わせて実現することもできる。
【００２４】
以上の構成の接続デバイス制限装置１の動作について説明する。
管理者もしくは利用者は、予め、接続を許可するデバイスを規定する情報を登録しておく。許可リスト設定手段１ｃは、登録情報に基づき接続許可リスト１ａを設定し、リスト記憶手段１ｂに格納する。接続許可リスト１ａには、接続を許可するデバイスを特定する情報、たとえば、メーカー名、プロダクト名、個別のシリアル番号などの他、デバイス種別全体を一括して任意に登録できる。たとえば、「メーカーＸの全製品を許可する。」、「メーカーＸのうち製品Ｙを許可する。」、「メーカーＸの製品Ｙのうちシリアル番号Ｚを許可する。」という指定ができるとする。これにより、特定個体のみを限定して利用を許可することや、個体までは限定しないで利用許可にすることが任意にできる。また、個々のデバイスを指定するのではなく、その種類全体、たとえば、「ＨＩＤデバイスは、どのメーカーのものでも許可する。」という指定が可能になる。これにより、個々のＨＩＤデバイスの許可設定を行うことなく、ＨＩＤデバイスを一括して利用可能とすることができる。
【００２５】
このように接続許可リスト１ａが登録され、リスト記憶手段１ｂに格納された後、接続ポート２ａ、２ｂ、２ｃにデバイスが接続されたことをインタフェース１ｅが検出し、接続制限手段１ｄに通知する。接続制限手段１ｄは、接続されたデバイスのデバイス情報をインタフェース１ｅ経由で取り出し、そのデバイス情報と接続許可リスト１ａを照合して、このデバイスの接続を許可できるかどうかを判断する。このデバイスが許可デバイスに相当する場合には接続は許可し、相当しない場合には接続を禁止する。たとえば、接続許可リスト１ａに、「メーカーＸの全製品を許可する。」という登録があり、接続するデバイスのメーカーがＸであった場合、接続を許可する。そして、デバイスが接続されたことをＯＳ／ドライバ３に通知し、以降の利用を可能とする。一方、接続するデバイスのメーカーがＸ以外であった場合、接続を禁止する。そして、デバイスが接続されたことをＯＳ／ドライバ３に通知しないなどにより、このデバイスが利用できないようにする。
【００２６】
ここで、接続許可リストについて説明する。図２は、接続許可リストの一例を示す構成図である。
図の例の接続許可リストは、接続許可リストに設定されるデバイス数を格納するデバイス数１０１、各許可デバイスを規定する許可デバイス１（１０２）から許可デバイスｎ（１０３）及び例外を規定する例外情報１０４の各領域を有する。
【００２７】
デバイス数１０１には、接続許可リストに登録される許可デバイスの総数が格納される。登録総数がわかることにより、不必要な領域との照合を省くことができ、照合処理が速くなる。
【００２８】
許可デバイス１（１０２）から許可デバイスｎ（１０３）には、許可デバイスを規定する情報がデバイスごとに登録されている。各デバイスに登録される項目には、許可レベルに応じた強度が決められている。強度とは、どの程度、許可デバイスを特定するかを表し、強度が増すほど特定事項の項目数が増え、許可デバイスがより詳細に特定される。また、特定事項には、ベンダーＩＤ、プロダクトＩＤ、シリアル番号がある。ベンダーＩＤは、メーカーを識別するため、メーカー固有に割り当てられた番号である。プロダクトＩＤは、製品を識別するため、製品ごとに割り当てられた番号である。そして、シリアル番号は、個々の製品を特定するため、製品ごとに付与される通し番号である。図の例では、強度が低（＝１）の場合、特定事項数が少なく、ベンダーＩＤのみが指定される。すなわち、「メーカーＸの全製品を許可する。」という登録ができる。強度が中（＝２）の場合、特定事項数が増え、ベンダーＩＤとプロダクトＩＤが指定される。すなわち、「メーカーＸのうち製品Ｙを許可する。」という登録ができる。強度が高（＝３）の場合、個々のデバイスを特定し、特定事項としてベンダーＩＤとプロダクトＩＤ及びシリアル番号が指定される。すなわち、「メーカーＸの製品Ｙのうちシリアル番号Ｚを許可する。」という登録ができる。
【００２９】
例外情報１０４は、許可デバイスとして個々のデバイスを指定するのではなく、デバイスの種別など、全体の許可もしくは禁止の指示が登録される。図の例では、例外情報として、ＵＳＢハブデバイスの許可という項目と、ＨＩＤデバイスの許可という項目がある。ＵＳＢハブデバイスの許可という項目では、常に許可が設定される。これは、ＵＳＢハブにつながるデバイスを制御するために、ＵＳＢハブは常に許可する必要があることによる。また、ＨＩＤデバイスの許可という項目では、すべてのＨＩＤデバイスを許可しない（＝０）、もしくは、すべてのＨＩＤデバイスを許可する（＝１）のいずれかが選択され、設定される。このように、種別で許可設定を行うことにより、個々の許可デバイスを登録する手間を省くことができる。たとえば、図の例で、利用されるＨＩＤデバイスのメーカーを特定できないが、ＨＩＤデバイスなら接続しても支障がないような構成の場合、例外情報１０４に設定することにより、簡単にすべてのＨＩＤデバイスを利用可能とすることができる。一方、外部に情報を流出したくないような場合、例外情報１０４において記憶デバイスの接続を禁止しておけば、すべての記憶デバイスの利用が不可能となる。
【００３０】
以上のように、接続許可リストには、個々のデバイスの許可設定も可能であるし、種別全体を一括して許可設定もしくは禁止設定することができる。このように、接続を許可するデバイスを任意のレベルで設定することができるため、利用者もしくは管理者は、コンピュータの用途やシステム構成などに応じて、所望の許可リストを容易に作成することができる。また、接続デバイス制限装置側は、どのような強度レベルであっても同様に処理（登録された許可デバイスの特定事項とデバイスのデバイス情報との照合処理）を行うことが可能である。さらに、デバイスから取り出し可能な情報に基づいて接続許可リストの特定事項を設定すればよいので、従来のデバイスにも対応することができる。
【００３１】
以下、実施の形態を、ＰＣに適用し、ＵＳＢポートに接続される接続デバイスの接続制限を行う場合を例に図面を参照して詳細に説明する。
図３は、本実施の形態の接続デバイス制限装置が組み込まれるＰＣのハードウェア構成例を示すブロック図である。
【００３２】
ＰＣ１０は、ＣＰＵ（Central Processing Unit）１１によって装置全体が制御されている。ＣＰＵ１１には、バス１９を介してＲＡＭ（Random Access Memory）１２、ハードディスクドライブ（ＨＤＤ：Hard Disk Drive）１３、グラフィック処理装置１４、入力インタフェース１５、通信インタフェース１６、ＵＳＢインタフェース１７、ＩＥＥＥ１３９４インタフェース１８が接続されている。
【００３３】
ＲＡＭ１２には、ＣＰＵ１１に実行させるＯＳのプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、ＲＡＭ１２には、ＣＰＵ１１による処理に必要な各種データが格納される。ＨＤＤ１３には、ＯＳやアプリケーションのプログラムが格納される。グラフィック処理装置１４には、モニタ２１が接続されており、ＣＰＵ１１からの命令に従って画像をモニタ２１の画面に表示させる。入力インタフェース１５には、キーボード２２ａやマウス２２ｂが接続されており、キーボード２２ａやマウス２２ｂから送られてくる信号を、バス１９を介してＣＰＵ１１に送信する。通信インタフェース１６は、ネットワーク２３に接続されており、ネットワーク２３を介して他装置との間でデータの送受信を行う。ＵＳＢインタフェース１７には、ＵＳＢポートを介してＵＳＢ機器２４ａ、２４ｂが接続されており、ＵＳＢ機器２４ａ、２４ｂから送られてくる信号を、バス１９を介してＣＰＵ１１に送るとともに、ＣＰＵ１１からの命令に従ってＵＳＢ機器２４ａ、２４ｂに信号を送信する。ＵＳＢ機器には、たとえば、スキャナなどの入力機器や、プリンタなどの出力機器、外部メモリなど、さまざまな種類がある。なお、キーボード２２ａやマウス２２ｂもＵＳＢインタフェース１７を介して接続することもできる。ＩＥＥＥ１３９４インタフェース１８には、ＩＥＥＥ１３９４対応機器が接続され、他のインタフェースと同様に、ＩＥＥＥ１３９４対応機器とＣＰＵ１１との間のデータ交換を制御する。
【００３４】
このようなハードウェア構成によって、本実施の形態の処理機能を実現することができる。
次に、ＵＳＢインタフェースについて詳細に説明する。図４は、本実施の形態のＵＳＢインタフェースの構成例を示すブロック図である。図４では、図３に示したＰＣの他の部分は省略している。
【００３５】
ｎ台のＵＳＢインタフェース１７ａ、・・・、１７ｂは、それぞれＰＣＩバス１７ｃを経由してＰＣ本体に接続する。各ＵＳＢインタフェース、たとえば、ＵＳＢインタフェース１（１７ａ）は、ＵＳＢホストコントローラ１（１７１ａ）、ルートハブ１７２ａ、ＵＳＢポート１７６ａ、１７６ｂを備えており、ＵＳＢポート１７６ａ、１７６ｂに接続されたデバイスの情報がルートハブ１７２ａ、ＵＳＢホストコントローラ１（１７１ａ）を通過する。さらに、ＰＣ本体に設けられたＵＳＢポート１７６ａからハブ１７７ａを経由してＵＳＢポート１７８ａ、１７８ｂが接続される場合もある。接続デバイス制限装置１７３ａは、接続制限手段１７３１と接続許可リストを記憶するリスト記憶手段１７３２及び設定インタフェース１７３３を有し、このＵＳＢホストコントローラ１（１７１ａ）またはルートハブ１７２ａ、もしくはその間に設置され、上記ルートを流れる情報を操作してデバイスの利用制限を行う。設定インタフェース１７３３は、ＰＣ内に用意された設定アプリケーションにより作成された接続許可リストを取得し、リスト記憶手段１７３２に格納する処理を行う。また、接続制限手段１７３１は、上記ルートを流れる情報を取り出し、リスト記憶手段１７３２に格納される接続許可リストに基づき、デバイスの接続が許可されれば情報がＰＣＩバス１７ｃ経由でＰＣ内部に伝達されるのを許可し、接続が許可されない場合は、情報がＰＣ内部に伝達されるのを禁止する。詳細な処理手順は後述する。
【００３６】
ＵＳＢインタフェースｎ（１７ｂ）も同様に、ＵＳＢホストコントローラｎ（１７１ｂ）、ルートハブ１７２ｂ、ＵＳＢポート１７６ｃ、１７６ｄを備えており、ＵＳＢホストコントローラｎ（１７１ｂ）またはルートハブ１７２ｂ、もしくはその間に接続デバイス制限装置１７３ｂが設けられる。
【００３７】
このように、接続デバイス制限装置をデバイスから情報が流れ込む接続ポートに近い地点に配置し、デバイスの利用制限を行う。
なお、接続デバイス制限装置を各ＵＳＢポートに設けるとすることもできるが、図４から明らかなように、ＵＳＢポート数のデバイス接続制限装置を設けるとするとコストが膨大となり、現実的でない。
【００３８】
ここで、ＵＳＢポートに接続するＵＳＢデバイスから得られる情報について説明する。ＵＳＢのドライバインタフェースの仕様（ＯｐｅｎＵＳＢＤＩ；Open Universal Serial Bus Driver Interface）では、ＵＳＢデバイスは、管理エージェントからのＵＳＢデバイスのデバイス情報の要求に対し、デバイスに関する記述で構成されるＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲを送る。
【００３９】
図５は、ＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲの構成を示している。図は、本実施の形態に係る部分を抜き出して示している。
ＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲには、ベンダーＩＤ２０１、プロダクトＩＤ２０２、デバイスクラス２０３、デバイスサブクラス２０４、シリアル番号インデックス２０５などのフィールドを有する。ベンダーＩＤフィールド２０１には、ＵＳＢデバイスワーキンググループにより決められたベンダーのＩＤが設定される。プロダクトＩＤフィールド２０２には、同様に製品ごとに決められた製品のＩＤが設定される。デバイスクラスフィールド２０３には、同様にして決められたデバイスのクラスコードが設定され、デバイスサブクラスフィールド２０４には、サブクラスコードが設定される。たとえば、デバイスクラスフィールドの値が９であれば、デバイスはＵＳＢハブである。また、シリアル番号インデックスフィールド２０５には、ＡＳＣＩＩコードで記述されたシリアル番号の場所を示す情報が設定される。
【００４０】
このように、ＵＳＢデバイスから得られるデバイスの記述情報（ＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲ）を用いてＵＳＢデバイスの接続許可リストを設定し、ＵＳＢデバイスの利用制限を行う。
【００４１】
次に、ＵＳＢデバイスの利用制限処理について説明する。なお、従来では、ＵＳＢデバイスが接続ポートに接続されたことがＯＳに通知されると、ＯＳは、接続されたＵＳＢデバイスの記述情報（ＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲ）を要求していた。上記の説明では、ＵＳＢデバイスが接続ポートに接続されると、接続デバイス制限装置に通知され、接続デバイス制限装置が接続許可と判定した場合にＯＳにデバイスの接続が通知されるとしたが、一旦、ＯＳに対しＵＳＢデバイスの接続を通知し、ＯＳから発行されるＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲの応答を制御することによっても同等の機能が実現する。
【００４２】
以下、ＯＳが発行したＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲの応答を制御して利用制限を行う場合について説明する。なお、接続許可リストは、図２に示した構成とし、強度が増すごとにベンダーＩＤ、プロダクトＩＤ、シリアル番号と特定事項が増え、例外情報として、ＵＳＢハブデバイスを常に許可するという設定とすべてのＨＩＤデバイスに対して許可または禁止の設定がされているとする。
【００４３】
図６は、本実施の形態のＵＳＢデバイスの接続制限処理手順を示したフローチャートである。
ＯＳからターゲットのＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲの取り出し要求を受け、処理が開始される。
【００４４】
［ステップＳ１１］ 接続ポートに接続されたターゲットのＵＳＢデバイスからＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲを取り出す。ＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲには、図５に示したような、ターゲットのデバイスのベンダーＩＤ、プロダクトＩＤ、デバイスクラス、シリアル番号インデックス、他の情報を取り出すポインタ情報などが含まれている。
【００４５】
［ステップＳ１２］ まず、例外情報を処理する。ターゲットデバイスがＵＳＢハブであるかどうかを判定する。デバイスクラスフィールドの値が９であれば、デバイスはＵＳＢハブである。図２からＵＳＢハブの場合は、常に許可であるので、処理をステップＳ１８へ進める。
【００４６】
［ステップＳ１３］ ターゲットデバイスがＵＳＢハブでない場合、ターゲットデバイスからさらにＵＳＢ＿ＣＯＮＦＩＧＵＲＡＴＩＯＮ＿ＤＥＳＣＲＩＰＴＯＲを取り出す。
［ステップＳ１４］ 例外情報としてＨＩＤデバイスを常に有効とする設定で、かつ、ターゲットデバイスはＨＩＤデバイスかどうかを判定する。例外情報が、ＨＩＤデバイスを常に許可するという設定であった場合、ターゲットがＨＩＤデバイスであるかどうかを確認する。ＵＳＢ＿ＣＯＮＦＩＧＵＲＡＴＩＯＮ＿ＤＥＳＣＲＩＰＴＯＲ内のＵＳＢ＿ＩＮＴＥＲＦＡＣＥ＿ＤＥＳＣＲＩＰＴＯＲ内のインタフェースクラスフィールドの値が３であれば、ＨＩＤデバイスである。ターゲットがＨＩＤデバイスで、かつ例外情報にＨＩＤデバイスを許可する設定がされていた場合、処理をステップＳ１８へ進める。
【００４７】
［ステップＳ１５］ ステップＳ１２からステップＳ１４の例外情報チェックで接続許可とならなかった場合、ターゲットが接続許可リストの許可デバイスと一致するかどうかを照合する。ＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲのシリアル番号インデックスに基づき、ターゲットのＵＳＢ＿ＳＴＲＩＮＧ＿ＤＥＳＣＲＩＰＴＯＲからシリアル番号を取り出す。ベンダーＩＤとプロダクトＩＤは、ＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲよりすでに得られている。
【００４８】
［ステップＳ１６］ ターゲットのベンダーＩＤ、プロダクトＩＤ及びシリアル番号を接続許可リストに登録された１からｎまでの許可デバイスのベンダーＩＤ、プロダクトＩＤ、シリアル番号と照合する。このとき、登録された強度が１であればベンダーＩＤ、２であればベンダーＩＤとプロダクトＩＤ、３であればベンダーＩＤ、プロダクトＩＤ及びシリアル番号のすべてと照合する。ターゲットが許可デバイスに相当する場合、処理をステップＳ１８へ進める。
【００４９】
［ステップＳ１７］ ターゲットは許可デバイスに相当しない場合、ＯＳに対しエラーを返し処理を終了する。これにより、ＯＳはターゲットが正常動作していないとみなし、接続を行わない。すなわち、ターゲットの利用ができない。また、必要に応じて、利用制限がかかっていることをモニタなどに表示するようにしてもよい。
【００５０】
［ステップＳ１８］ ターゲットは許可デバイスに相当するので、取り出したＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲをＯＳに返し処理を終了する。ＯＳは、ターゲット正常とみなし、ターゲットの利用を可能にする。
【００５１】
以上の処理手順が実行されることにより、接続許可リストに基づき、不必要なデバイスの利用が制限される。接続デバイス制限装置は、ＯＳのＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲ要求を監視し、検出したときには、上記手順を実行する。接続時にエラーが検出されると、ＯＳはターゲットの接続を行わないので、以降、ターゲットは利用できなくなる。
【００５２】
このような接続デバイス制限処理によれば、デバイスの利用制限を運用に合わせて任意に設定できるとともに、ＯＳ及びターゲットのＵＳＢデバイスの双方の処理を変更する必要がないため、現システムに容易に適用できるという利点がある。
【００５３】
以上、ＵＳＢポートを介して接続する接続デバイスの接続制限の場合について説明したが、本発明は、ＩＥＥＥ１３９４ポートなど、その他の接続ポートに接続する接続デバイスの接続制限にも適用することができる。
【００５４】
また、上記の説明では、接続許可リストをＰＣで共通としたが、ＰＣは利用者ごとにユーザアカウントを設定し、それぞれに利用することができる。そこで、接続許可リストをユーザアカウントごとに設け、デバイスの利用制限を利用者ごとに設定する。
【００５５】
図７は、本実施の形態のユーザアカウントごとに接続許可リストを有する接続デバイス制限装置の構成図である。
接続デバイス制限装置３１０は、すべての利用者で共通の接続許可リスト３１１、ユーザごとの接続許可リスト（ユーザ１用）３１２、接続許可リスト（ユーザ２用）３１３及び接続制限手段３１４を有する。図の例では、接続許可リストを設定する許可リスト設定手段３５０は、接続デバイス制限装置３１０外に設けられている。さらに、設定ファイル更新判定手段３４０と、接続許可リスト選択手段３２０が設けられる。なお、接続許可リスト選択手段３２０、設定ファイル更新判定手段３４０及び許可リスト設定手段３５０は、接続デバイス制限装置３１０が搭載されるコンピュータが、接続デバイス制限プログラムもしくは関連するインタフェース処理プログラムを実行することにより、その処理機能を実現する。
【００５６】
接続デバイス制限装置３１０の接続許可リスト３１１は、全利用者に共通で、ユーザアカウントに関わらず接続制限手段３１４によって参照される。接続許可リスト（ユーザ１用）３１２及び接続許可リスト（ユーザ２用）３１３は、ユーザアカウントごとに選択されて接続制限手段３１４に参照される。
【００５７】
接続許可リスト選択手段３２０は、ＯＳのログオン処理３３０によりログオンされたユーザアカウントを検出し、該当する接続許可リストを選択し、接続制限手段３１４に通知する。また、ＯＳのログオフでは、選択している接続許可リストを非選択とするように接続制限手段３１４に指示する。
【００５８】
設定ファイル更新判定手段３４０は、後述する設定ツールによって接続許可リストが更新されたことを検出すると、これを許可リスト設定手段３５０に通知する。また、更新の指示は、接続許可リストを更新した管理者からの通知で行うこともできる。
【００５９】
許可リスト設定手段３５０は、設定ファイルが更新されたことを検出すると、該当する接続許可リストを更新する。
このような接続デバイス制限装置３１０の動作について説明する。
【００６０】
ＰＣ起動時のデフォルトの状態では、接続許可リスト選択手段３２０は、いずれのユーザ用の接続許可リストも選択しておらず、接続制限手段３１４は、接続許可リスト（共通用）３１１を用いてデバイスの接続制限処理を行う。
【００６１】
ＯＳのログオン処理３３０により、ユーザアカウントが設定されると、接続許可リスト選択手段３２０を通じて、ログオンされたユーザアカウントに応じてユーザｎ用の接続許可リスト（ユーザ１用３１２もしくはユーザ２用３１３）が選択される。接続制限手段３１４は、選択された接続許可リスト（ユーザ１用３１２もしくはユーザ２用３１３）及び接続許可リスト（共通用）３１１を用いてデバイスの接続制限処理を行う。
【００６２】
そして、ＯＳのログオフ処理が行われると、接続許可リスト選択手段３２０を通じて、ログオフされたユーザアカウントに応じてユーザｎ用の接続許可リスト（ユーザ１用３１２もしくはユーザ２用３１３）を非選択にする。接続制限手段３１４は、接続許可リスト（共通用）３１１のみを用いてデバイスの接続制限処理を行う。
【００６３】
このように、ログオン及びログオフに応じて、選択する接続許可リストを可変にすることにより、利用者に応じてデバイスの利用制限を行うことが可能となる。
次に、接続許可リストの更新について説明する。
【００６４】
管理者が設定ツールを用いて接続許可リストを設定すると、設定ファイル更新判定手段３４０は、これを自動検出または管理者側の通知により検出し、許可リストの更新指示を許可リスト設定手段３５０へ出力する。許可リスト設定手段３５０は、更新された許可リストを接続デバイス制限装置３１０の該当するリスト記憶手段に格納する。接続制限手段３１４は、更新された接続許可リストに従って、デバイスの接続制限処理を行う。
【００６５】
なお、更新された許可リストにおいて、すでに接続が許可されているデバイスについて接続許可が取り消されている場合には、ＯＳを再起動することにより、そのデバイスの接続を禁止する。ＯＳの再起動は、たとえば、許可リスト設定手段３５０が、ＯＳの再起動が必要であることを検出し、その通知をモニタなどに表示することによって、利用者にＯＳの再起動を促すことによって行う。
【００６６】
ここで、設定ツールについて、設定ツール画面の一例を用いて説明する。図８は、本実施の形態の設定ツール画面の一例を示した図である。
設定ツール画面４０１は、更新の対象とする設定ファイル（接続許可リスト）を選択するフィールド４０２と、対象ユーザを共通とするか特定ユーザとするかを選択するユーザ選択フィールド４０３を有している。変更を行う管理者は、対象の設定ファイルをと対象ユーザを設定し、設定処理を次へ進める「接続を許可するデバイスの登録」ボタン４０４を操作する。
【００６７】
対象の設定ファイルと対象ユーザが設定され、「接続を許可するデバイスの登録」ボタン４０４が操作されると、表示は、接続を許可するデバイスの登録画面に遷移する。
図９は、本実施の形態の接続を許可するデバイスの登録画面の一例を示した図である。
【００６８】
接続を許可するデバイスの登録画面４０５では、まず、対象のデバイスが属する種別（図の例では、ＵＳＢ、ＦＤＤ（Floppy（登録商標） Disk Drive）、ＩＥＥＥ１３９４、シリアル／パラレル）を選択する。以下、ＵＳＢ４０６を選択した場合で説明する。
【００６９】
ＵＳＢ４０６を選択すると、例外情報の項目として、「すべて許可する」４０７と「すべて許可しない」４０８と、許可デバイスを設定する項目として「指定したデバイスを許可する」４０９の選択が表示される。「すべて許可する」４０７が選択されると、すべてのＵＳＢデバイスの接続を許可するように例外情報が設定される。一方、「すべて許可しない」４０８が選択されると、すべてのＵＳＢデバイスの接続を禁止するように例外情報が設定される。また、「指定したデバイスを許可する」４０９が選択されると、さらに、指定されているデバイスフィールド４１０が表示され、選択された設定ファイルに現在設定されているデバイスの一覧が表示される。指定されているデバイスフィールド４１０を書き換えることによって、許可デバイスの設定が変更される。なお、図の例の「ＨＩＤデバイスすべて」という設定がされた場合は、例外情報の設定が行われる。
【００７０】
さらに、ＵＳＢデバイスを接続許可リストに追加する場合、指定を容易にするため、たとえば、追加ＵＳＢ画面を表示する。図１０は、本実施の形態の追加ＵＳＢ画面の一例を示した図である。
【００７１】
追加ＵＳＢ画面４１１では、デバイスの固有ＩＤを入力して許可デバイスを設定する固有ＩＤ設定画面フィールド４１２の他、種類を指定する種類指定フィールド４１３、接続中のデバイスから指定する接続中デバイス指定フィールド４１４を有する。管理者は、最も使いやすいフィールドを用いてデバイスの指定を行う。
【００７２】
以上のように、各デバイスの設定画面では、どの装置を接続許可するかを指定する画面を持つ。指定画面では、デバイスの能力に応じて、最も一意性を確認できる方法を用意する。たとえば、ＵＳＢの場合には、ベンダーＩＤ／プロダクトＩＤ／シリアル番号で特定する。また、設定を容易にするため、種類を指定する方法も持つ。たとえば、セキュリティ上心配が低いＨＩＤデバイスなどについては、そのデバイスのカテゴリであればどのようなデバイスであっても接続を許可するような指定を可能とする。加えて、現在接続中のデバイスから指定する方法も持つ。
【００７３】
以上、実施の形態をＵＳＢに適用した場合で説明したが、たとえば、ＯＳにプラグアンドプレイ（以下、ＰｎＰとする）の機構が備わっている場合には、コンピュータ起動時及びデバイス装着時のメッセージに介入することでデバイスの利用制限を行うことができる。
【００７４】
以下、Ｗｉｎｄｏｗｓ２０００／ＸＰ（登録商標）の場合で説明する。
スタート時もしくはデバイス装着時には、ＯＳのＰｎＰマネージャーによりＩＲＰ＿ＭＪＰＮＰ／ＩＲＰ＿ＭＮ＿ＳＴＡＲＴ＿ＤＥＶＩＣＥのリクエストが発行される。各デバイスドライバは、そのリクエストをもとにデバイスの使用を開始させる。そこで、すべてのＩＲＰ＿ＭＪＰＮＰ／ＩＲＰ＿ＭＮ＿ＳＴＡＲＴ＿ＤＥＶＩＣＥを受け取れるルート上に接続デバイス制限装置を設ける。
【００７５】
接続デバイス制限装置では、ＩＲＰ＿ＭＪＰＮＰ／ＩＲＰ＿ＭＮ＿ＳＴＡＲＴ＿ＤＥＶＩＣＥを受け取り、そのデバイスに対してデバイスの一意性を調べることが可能な情報を得る。たとえば、ＵＳＢの場合には、ＵＳＢ＿ＤＥＶＩＣＥ＿ＤＥＳＣＲＩＰＴＯＲやＵＳＢ＿ＣＯＮＦＩＧＵＲＡＴＩＯＮ＿ＤＥＳＣＲＩＰＴＯＲ、シリアル番号のためのＵＳＢ＿ＳＴＲＩＮＧ＿ＤＥＳＣＲＩＰＴＯＲがこれに相当する。
【００７６】
そして、ターゲットのデバイスから取り出した情報が接続許可リストに含まれているかどうかを照合し、含まれている場合には、これまで通りの処理を行う。すなわち、ＩＲＰ＿ＭＪＰＮＰ／ＩＲＰ＿ＭＮ＿ＳＴＡＲＴ＿ＤＥＶＩＣＥをそのままＯＳに返し、介入はしなかったように振舞うことで、そのデバイスの使用を開始する。一方、ターゲットから取り出した情報が接続許可リストに含まれていない場合は、ＩＲＰ＿ＭＪＰＮＰ／ＩＲＰ＿ＭＮ＿ＳＴＡＲＴ＿ＤＥＶＩＣＥのリクエストを失敗させるように、そのリクエストの戻り値を失敗に設定する。これにより、そのデバイスの使用を開始できず、そのデバイスは利用不可能となる。
【００７７】
なお、上記の処理機能は、コンピュータによって実現することができる。その場合、接続デバイス制限装置が有すべき機能の処理内容を記述したプログラムが提供される。そのプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリなどがある。磁気記録装置には、ハードディスク装置（ＨＤＤ）、フレキシブルディスク（ＦＤ）、磁気テープなどがある。光ディスクには、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ（Random Access Memory）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）などがある。光磁気記録媒体には、ＭＯ（Magneto-Optical disk）などがある。
【００７８】
プログラムを流通させる場合には、たとえば、そのプログラムが記録されたＤＶＤ、ＣＤ−ＲＯＭなどの可搬型記録媒体が販売される。また、プログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することもできる。
【００７９】
プログラムを実行するコンピュータは、たとえば、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、自己の記憶装置に格納する。そして、コンピュータは、自己の記憶装置からプログラムを読み取り、プログラムに従った処理を実行する。なお、コンピュータは、可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することもできる。また、コンピュータは、サーバコンピュータからプログラムが転送されるごとに、逐次、受け取ったプログラムに従った処理を実行することもできる。
【００８０】
（付記１） コンピュータに接続して利用される接続デバイスの利用制限を行う接続デバイス制限プログラムにおいて、
コンピュータに、
接続を許可する接続許可デバイスを規定する接続許可リストを設定し、リスト記憶手段に保存するステップと、
前記接続デバイスが接続されると、前記接続デバイスから前記接続デバイスに関するデバイス情報を取得するステップと、
取得した前記デバイス情報を用いて前記接続デバイスが前記接続許可リストに登録された前記接続許可デバイスに相当するかどうかを照合するステップと、
前記接続デバイスが前記接続許可デバイスに相当する場合は接続を許可し、それ以外の場合は接続を禁止するステップと、
を実行させることを特徴とする接続デバイス制限プログラム。
【００８１】
（付記２） コンピュータに、
前記接続許可リストを設定するステップでは、前記接続許可デバイスを特定するための情報量を必要に応じて可変とし、利用者もしくは管理者が所望する接続許可対象に応じて前記接続許可デバイスを特定するための特定事項を任意の項目数設定する、
手順を実行させることを特徴とする付記１記載の接続デバイス制限プログラム。
【００８２】
（付記３） コンピュータに、
前記接続デバイスが前記接続許可デバイスに相当するかどうかを照合するステップでは、前記接続許可デバイスに設定された項目数すべての前記特定事項に前記接続デバイスが一致するかどうかを照合する、
手順を実行させることを特徴とする付記２記載の接続デバイス制限プログラム。
【００８３】
（付記４） コンピュータに、
前記接続デバイスの接続を許可もしくは禁止するステップでは、前記接続デバイスに関する処理を実行する処理部に対し、接続が許可された場合には、前記接続デバイスが接続されたことを通知し、接続が禁止された場合には前記接続デバイスが接続されたことを通知しない、
手順を実行させることを特徴とする付記１記載の接続デバイス制限プログラム。
【００８４】
（付記５） コンピュータに、
前記接続許可リストを設定するステップでは、前記接続許可デバイスを特定するための特定事項として、前記接続許可デバイスの種別を設定し、
前記接続デバイスが前記接続許可デバイスに相当するかどうかを照合するステップでは、前記接続デバイスが前記接続許可リストに設定された前記接続許可デバイスの種別と一致するかどうかを照合する、
手順を実行させることを特徴とする付記１記載の接続デバイス制限プログラム。
【００８５】
（付記６） コンピュータに、
前記接続許可リストを設定するステップでは、さらに、必要に応じて、前記接続許可デバイスの種別に相当する前記接続デバイスの接続をすべて禁止する設定を行い、
前記接続デバイスが前記接続許可デバイスに相当するかどうかを照合するステップでは、前記接続デバイスが前記接続許可リストに設定された前記接続許可デバイスの種別と一致し、接続禁止が設定されていた場合には、該当する前記接続デバイスの接続を禁止する、
手順を実行させることを特徴とする付記５記載の接続デバイス制限プログラム。
【００８６】
（付記７） コンピュータに、
前記接続許可リストを設定するステップでは、前記接続許可デバイスとして設定されるデバイス数を前記接続許可リストに設定し、
前記接続デバイスが前記接続許可デバイスに相当するかどうかを照合するステップでは、前記接続デバイスが前記接続許可デバイスに相当するかどうかを前記接続許可デバイスとして設定されたデバイス数分照合する、
手順を実行させることを特徴とする付記１記載の接続デバイス制限プログラム。
【００８７】
（付記８） コンピュータに、
前記接続許可リストを設定するステップでは、前記接続許可リストを利用者共通もしくは利用者ごとに設定し、
前記接続デバイスが前記接続許可デバイスに相当するかどうかを照合するステップでは、前記利用者に応じて選択される前記接続許可リストを照合に使用する、
手順を実行させることを特徴とする付記１記載の接続デバイス制限プログラム。
【００８８】
（付記９） コンピュータに、
前記接続許可リストを設定するステップでは、前記利用者ごとの前記接続許可リストを前記利用者のユーザアカウントに関連付けて記憶しておき、ログオン時に選択された前記ユーザアカウントに対応する前記接続許可リストを選択し、ログオフ時に選択されていた前記ユーザアカウントに対応する前記接続許可リストを非選択とする、
手順を実行させることを特徴とする付記８記載の接続デバイス制限プログラム。
【００８９】
（付記１０） コンピュータに接続して利用される接続デバイスの利用制限を行う接続デバイス制限装置において、
接続を許可する接続許可デバイスを規定する情報に基づいて接続許可リストを設定する許可リスト設定手段と、
前記接続許可リストを保存するリスト記憶手段と、
前記接続デバイスが接続されると、前記接続デバイスから前記接続デバイスに関するデバイス情報を取得し、前記デバイス情報を用いて前記接続デバイスが前記接続許可リストに登録された前記接続許可デバイスに相当するかどうかを照合し、相当する場合には前記接続デバイスの接続を許可し、それ以外の場合は接続を禁止する接続制限手段と、
を有することを特徴とする接続デバイス制限装置。
【符号の説明】
【００９０】
１ 接続デバイス制限装置
１ａ 接続許可リスト
１ｂ リスト記憶手段
１ｃ 許可リスト設定手段
１ｄ 接続制限手段
１ｅ インタフェース
２ａ、２ｂ、２ｃ 接続ポート
３ ＯＳ／ドライバ
【特許請求の範囲】
【請求項１】
コンピュータに接続して利用されるデバイスの利用制限を行うプログラムにおいて、
該コンピュータに、
該コンピュータに接続して利用することを許容するデバイスの特定を、複数の特定方法のうち、いずれの特定方法によるものでも許容し、
前記複数の特定方法は、少なくとも、デバイス固有のＩＤを用いて特定する方法と、プロダクトＩＤ又はベンダーＩＤを用いて特定する方法とを含み、
接続されたデバイスから、該デバイス固有のＩＤと、プロダクトＩＤ又はベンダーＩＤとを含むデバイス情報を取得させ、
前記デバイス固有のＩＤを用いて特定する方法により利用することを許容するデバイスが特定される場合、少なくとも、前記デバイス情報に含まれる前記デバイス固有のＩＤを用いて該デバイスの利用を制限するか否かを判定し、前記プロダクトＩＤ又は前記ベンダーＩＤを用いて特定する方法により利用することを許容するデバイスが特定される場合、少なくとも、前記デバイス情報に含まれる前記プロダクトＩＤ又は前記ベンダーＩＤを用いて該デバイスの利用を制限するか否かを判定させる、
ことを特徴とするプログラム。
【請求項２】
コンピュータに接続して利用されるデバイスの利用制限を行う制限方法において、
該コンピュータに接続して利用することを許容するデバイスの特定を、複数の特定方法のうち、いずれの特定方法によるものでも許容し、
前記複数の特定方法は、少なくとも、デバイス固有のＩＤを用いて特定する方法と、プロダクトＩＤ又はベンダーＩＤを用いて特定する方法とを含み、
接続されたデバイスから、該デバイス固有のＩＤと、プロダクトＩＤ又はベンダーＩＤとを含むデバイス情報を取得し、
前記デバイス固有のＩＤを用いて特定する方法により利用することを許容するデバイスが特定される場合、少なくとも、前記デバイス情報に含まれる前記デバイス固有のＩＤを用いて該デバイスの利用を制限するか否かを判定し、前記プロダクトＩＤ又は前記ベンダーＩＤを用いて特定する方法により利用することを許容するデバイスが特定される場合、少なくとも、前記デバイス情報に含まれる前記プロダクトＩＤ又は前記ベンダーＩＤを用いて該デバイスの利用を制限するか否かを判定する、
ことを特徴とする制限方法。
【請求項３】
デバイスを接続可能なコンピュータにおいて、
該コンピュータに接続して利用することを許容するデバイスの特定を、少なくとも、デバイス固有のＩＤを用いて特定する方法と、プロダクトＩＤ又はベンダーＩＤを用いて特定する方法とを含む複数の特定方法のうち、いずれの特定方法によるものでも許容する手段と、
前記デバイス固有のＩＤと、プロダクトＩＤ又はベンダーＩＤと、を記憶する記憶手段と、
接続されたデバイスから、該デバイス固有のＩＤと、プロダクトＩＤ又はベンダーＩＤとを含むデバイス情報を取得する手段と、
前記記憶手段を参照し、前記デバイス固有のＩＤを用いて特定する方法により利用することを許容するデバイスが特定される場合、少なくとも、前記デバイス情報に含まれる前記デバイス固有のＩＤを用いて該デバイスの利用を制限するか否かを判定し、前記プロダクトＩＤ又は前記ベンダーＩＤを用いて特定する方法により利用することを許容するデバイスが特定される場合、少なくとも、前記デバイス情報に含まれる前記プロダクトＩＤ又は前記ベンダーＩＤを用いて該デバイスの利用を制限するか否かを判定する手段と、
を備えたことを特徴とするコンピュータ。
【請求項１】
コンピュータに接続して利用されるデバイスの利用制限を行うプログラムにおいて、
該コンピュータに、
該コンピュータに接続して利用することを許容するデバイスの特定を、複数の特定方法のうち、いずれの特定方法によるものでも許容し、
前記複数の特定方法は、少なくとも、デバイス固有のＩＤを用いて特定する方法と、プロダクトＩＤ又はベンダーＩＤを用いて特定する方法とを含み、
接続されたデバイスから、該デバイス固有のＩＤと、プロダクトＩＤ又はベンダーＩＤとを含むデバイス情報を取得させ、
前記デバイス固有のＩＤを用いて特定する方法により利用することを許容するデバイスが特定される場合、少なくとも、前記デバイス情報に含まれる前記デバイス固有のＩＤを用いて該デバイスの利用を制限するか否かを判定し、前記プロダクトＩＤ又は前記ベンダーＩＤを用いて特定する方法により利用することを許容するデバイスが特定される場合、少なくとも、前記デバイス情報に含まれる前記プロダクトＩＤ又は前記ベンダーＩＤを用いて該デバイスの利用を制限するか否かを判定させる、
ことを特徴とするプログラム。
【請求項２】
コンピュータに接続して利用されるデバイスの利用制限を行う制限方法において、
該コンピュータに接続して利用することを許容するデバイスの特定を、複数の特定方法のうち、いずれの特定方法によるものでも許容し、
前記複数の特定方法は、少なくとも、デバイス固有のＩＤを用いて特定する方法と、プロダクトＩＤ又はベンダーＩＤを用いて特定する方法とを含み、
接続されたデバイスから、該デバイス固有のＩＤと、プロダクトＩＤ又はベンダーＩＤとを含むデバイス情報を取得し、
前記デバイス固有のＩＤを用いて特定する方法により利用することを許容するデバイスが特定される場合、少なくとも、前記デバイス情報に含まれる前記デバイス固有のＩＤを用いて該デバイスの利用を制限するか否かを判定し、前記プロダクトＩＤ又は前記ベンダーＩＤを用いて特定する方法により利用することを許容するデバイスが特定される場合、少なくとも、前記デバイス情報に含まれる前記プロダクトＩＤ又は前記ベンダーＩＤを用いて該デバイスの利用を制限するか否かを判定する、
ことを特徴とする制限方法。
【請求項３】
デバイスを接続可能なコンピュータにおいて、
該コンピュータに接続して利用することを許容するデバイスの特定を、少なくとも、デバイス固有のＩＤを用いて特定する方法と、プロダクトＩＤ又はベンダーＩＤを用いて特定する方法とを含む複数の特定方法のうち、いずれの特定方法によるものでも許容する手段と、
前記デバイス固有のＩＤと、プロダクトＩＤ又はベンダーＩＤと、を記憶する記憶手段と、
接続されたデバイスから、該デバイス固有のＩＤと、プロダクトＩＤ又はベンダーＩＤとを含むデバイス情報を取得する手段と、
前記記憶手段を参照し、前記デバイス固有のＩＤを用いて特定する方法により利用することを許容するデバイスが特定される場合、少なくとも、前記デバイス情報に含まれる前記デバイス固有のＩＤを用いて該デバイスの利用を制限するか否かを判定し、前記プロダクトＩＤ又は前記ベンダーＩＤを用いて特定する方法により利用することを許容するデバイスが特定される場合、少なくとも、前記デバイス情報に含まれる前記プロダクトＩＤ又は前記ベンダーＩＤを用いて該デバイスの利用を制限するか否かを判定する手段と、
を備えたことを特徴とするコンピュータ。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【公開番号】特開２０１０−１８２３３５（Ｐ２０１０−１８２３３５Ａ）
【公開日】平成２２年８月１９日（２０１０．８．１９）
【国際特許分類】
【出願番号】特願２０１０−１０１５２６（Ｐ２０１０−１０１５２６）
【出願日】平成２２年４月２６日（２０１０．４．２６）
【分割の表示】特願２００４−３７８６１１（Ｐ２００４−３７８６１１）の分割
【原出願日】平成１６年１２月２８日（２００４．１２．２８）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
【公開日】平成２２年８月１９日（２０１０．８．１９）
【国際特許分類】
【出願日】平成２２年４月２６日（２０１０．４．２６）
【分割の表示】特願２００４−３７８６１１（Ｐ２００４−３７８６１１）の分割
【原出願日】平成１６年１２月２８日（２００４．１２．２８）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
[ Back to top ]