ポリシーサーバ、アクセス管理システム及びポリシー管理プログラム
【課題】ユーザ情報の設定変更に伴うポリシーの設定に柔軟性を持たせる仕組みを提供する。
【解決手段】ポリシーデータベース１４には、ポリシーＩＤ、アカウント、許可権限、有効期限に加えて、当該ポリシーの付属ポリシーを生成することになるアカウントの更新内容と、付属ポリシーを生成する対象者、有効期限、許可権眼を含む設定情報とを含む規定情報が設定される。更新受付部１１がアカウント管理サーバ２０からユーザカウント情報の更新通知を受け付けると、ポリシー更新部１２は、その更新通知に応じて当該ポリシーの規定情報に従って当該ポリシーの設定内容を制限又は緩和する付属ポリシーを生成する。
【解決手段】ポリシーデータベース１４には、ポリシーＩＤ、アカウント、許可権限、有効期限に加えて、当該ポリシーの付属ポリシーを生成することになるアカウントの更新内容と、付属ポリシーを生成する対象者、有効期限、許可権眼を含む設定情報とを含む規定情報が設定される。更新受付部１１がアカウント管理サーバ２０からユーザカウント情報の更新通知を受け付けると、ポリシー更新部１２は、その更新通知に応じて当該ポリシーの規定情報に従って当該ポリシーの設定内容を制限又は緩和する付属ポリシーを生成する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ポリシーサーバ、アクセス管理システム及びポリシー管理プログラムに関する。
【背景技術】
【０００２】
ポリシーを設定してセキュリティ管理をしているシステムにおいて、例えば組織変更や人事異動によりユーザ情報の設定が変更された場合、ポリシーの設定も合わせて変更する必要がある。従来では、ユーザ情報の設定変更が生じた場合、ポリシーの設定も連動して変更する技術が提案されている（例えば、特許文献１）。
【０００３】
【特許文献１】特開２００５−４５４９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
ところで、従来においては、ユーザ情報の設定変更に連動してポリシーの設定も変更するので、元のアクセス権限がポリシーの設定変更に伴い即座に消失してしまう場合もあり得る。従って、例えば人事異動により所属グループが変更した後でも一定期間は元の所属グループのコンテンツをアクセスしたいような場合でも、従来においては、元の所属グループにおいて適用されていたアクセス権限を残しておくような仕組みがなかった。
【０００５】
本発明は、ユーザアカウント情報の設定更新に伴うポリシーの設定に柔軟性を持たせる仕組みを提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明に係るポリシーサーバは、ポリシーと、当該ポリシーが設定されたアカウントのユーザアカウント情報の更新に伴って当該ポリシーの設定内容を規定する規定条件が設定された規定情報と、を対応付けして記憶するポリシー記憶手段と、ユーザアカウント情報の更新通知を受け付ける受付手段と、受け付けた更新通知により特定される更新対象のアカウントに対応するポリシーを特定し、そのポリシーに対応付けられた規定情報に従って当該ポリシーの設定内容を制限又は緩和する付属ポリシーを生成する生成手段と、を有することを特徴とする。
【０００７】
また、前記生成手段は、規定情報に設定されている有効期限に従い期限付きの付属ポリシーを生成することを特徴とする。
【０００８】
本発明に係るアクセス管理システムは、ポリシーサーバと、前記ポリシーサーバに設定されたポリシーに従ってアクセス権が管理されるユーザ又はグループのユーザアカウント情報を管理するアカウントサーバと、を有し、前記ポリシーサーバは、ポリシーと、当該ポリシーが設定されたアカウントのユーザアカウント情報の更新に伴って当該ポリシーの設定内容を規定する規定条件が設定された規定情報と、を対応付けして記憶するポリシー記憶手段と、ユーザアカウント情報の更新通知を受け付ける受付手段と、受け付けた更新通知により特定される更新対象のアカウントに対応するポリシーを特定し、そのポリシーに対応付けられた規定情報に従って当該ポリシーの設定内容を制限又は緩和する付属ポリシーを生成する生成手段と、を有し、前記アカウントサーバは、ユーザアカウント情報を記憶するユーザアカウント情報記憶手段と、要求に応じて前記ユーザアカウント情報記憶手段の更新を行う更新手段と、前記更新手段により前記ユーザアカウント情報記憶手段に記憶されたユーザアカウント情報が更新されたときに更新されたアカウントの特定情報を含む更新通知を前記ポリシーサーバに送信する送信手段と、を有することを特徴とする。
【０００９】
本発明に係るポリシー管理プログラムは、ポリシーサーバを、ユーザアカウント情報の更新通知を受け付ける受付手段、受け付けた更新通知により特定される更新対象のアカウントに対応するポリシーを特定し、そのポリシーに対応付けられた規定情報を、ポリシーと当該ポリシーが設定されたアカウントのユーザアカウント情報の更新に伴って当該ポリシーの設定内容を規定する規定条件が設定された規定情報とを対応付けして記憶するポリシー記憶手段から読み出す手段、読み出した規定情報に従って当該ポリシーの設定内容を制限又は緩和する付属ポリシーを生成する生成手段、として機能させる。
【発明の効果】
【００１０】
請求項１，３，４記載の発明によれば、ユーザアカウント情報が更新された場合に、該当するユーザに対するアクセス権限に制限を加えたり、緩和したりすることができる。
【００１１】
請求項１記載の発明によれば、ユーザに対して制限又は緩和したアクセス権限を期限付きとすることができる。
【発明を実施するための最良の形態】
【００１２】
以下、図面に基づいて、本発明の好適な実施の形態について説明する。
【００１３】
実施の形態１．
図１は、本発明に係るアクセス管理システムの一実施の形態を示したブロック構成図である。図１には、システム内におけるポリシーを管理するポリシーサーバ１０、システム利用者のアカウントを管理するアカウント管理サーバ２０及び各種設定を行う管理者が使用する管理者端末３０がネットワーク２にて接続された構成が示されている。
【００１４】
図２は、本実施の形態におけるポリシーサーバ１０を形成するサーバコンピュータのハードウェア構成図である。本実施の形態においてポリシーサーバ１０を形成するサーバコンピュータは、従前から存在する汎用的なハードウェア構成で実現できる。すなわち、コンピュータは、図２に示したようにＣＰＵ４１、ＲＯＭ４２、ＲＡＭ４３、ハードディスクドライブ（ＨＤＤ）４４を接続したＨＤＤコントローラ４５、入力手段として設けられたマウス４６とキーボード４７、及び表示装置として設けられたディスプレイ４８をそれぞれ接続する入出力コントローラ４９、通信手段として設けられたネットワークコントローラ５０を内部バス５１に接続して構成される。
【００１５】
なお、アカウント管理サーバ２０及び管理者端末３０もコンピュータであることから、そのハードウェア構成は、図２と同じように図示することができる。
【００１６】
図１に戻り、ポリシーサーバ１０は、更新受付部１１、ポリシー更新部１２、ポリシー定義部１３及びポリシーデータベース（ＤＢ）１４を有している。更新受付部１１は、アカウント管理サーバ２０から送られてくるユーザアカウント情報の更新通知を受け付ける。ポリシー更新部１２は、アカウント管理サーバ２０からの更新通知に応じてポリシーデータベース１４の設定内容を更新する。ポリシー定義部１３は、ポリシーデータベース１４にポリシーを設定登録する。ポリシーデータベース１４には、定義されたポリシーが登録されるが、この内容については追って説明する。
【００１７】
ポリシーサーバ１０における各構成要素１１〜１３は、ポリシーサーバ１０を形成するコンピュータと、コンピュータに搭載されたＣＰＵ４１で動作するプログラムとの協調動作により実現される。またポリシーデータベース１４は、ポリシーサーバ１０に搭載されたＨＤＤ４４にて実現される。
【００１８】
アカウント管理サーバ２０は、情報管理部２１、更新通知部２２及びアカウントデータベース（ＤＢ）２３を有している。情報管理部２１は、管理者端末３０からの要求に応じてアカウントデータベース２３に登録されているユーザアカウント情報の新規登録、更新、削除等の情報管理を行う。更新通知部２２は、情報管理部２１によりアカウントデータベース２３に記憶されたユーザアカウント情報が更新されたときに更新通知をポリシーサーバ１０に送信する。
【００１９】
図３は、本実施の形態におけるアカウントデータベース２３のデータ構成例を示した図である。アカウントデータベース２３に設定されるアカウント情報は、２つのデータテーブルにて構成される。１つのデータテーブルには、本システムのユーザを特定するユーザＩＤ、ユーザ名及び当該ユーザがいずれかのグループに所属している場合には、その所属グループのグループＩＤが対応付けして設定される。他のデータテーブルには、アカウント情報は、グループを特定するグループＩＤ、グループ名及び当該グループに所属しているユーザのユーザＩＤが対応付けして設定される。
【００２０】
アカウント管理サーバ２０における各構成要素２１〜２２は、アカウント管理サーバ２０を形成するコンピュータと、コンピュータに搭載されたＣＰＵ４１で動作するプログラムとの協調動作により実現される。またアカウントデータベース２３は、アカウント管理サーバ２０に搭載されたＨＤＤ４４にて実現される。
【００２１】
また、本実施の形態で用いるプログラムは、通信手段により提供することはもちろん、ＣＤ−ＲＯＭやＤＶＤ−ＲＯＭ等のコンピュータ読み取り可能な記録媒体に格納して提供することも可能である。通信手段や記録媒体から提供されたプログラムはコンピュータにインストールされ、コンピュータのＣＰＵがインストールプログラムを順次実行することで各種処理が実現される。
【００２２】
次に、本実施の形態における動作について説明する。
【００２３】
管理者による操作に従って入力指示されたポリシー情報を受け付けると、ポリシー定義部１３は、ポリシー情報を生成してポリシーデータベース１４に設定登録する。また、ポリシー定義部１３は、管理者による操作に従って入力指示された設定情報を受け付け、その設定情報を、設定情報が付加されていない対応する既存のポリシー情報に付加する。
【００２４】
図４は、本実施の形態におけるポリシーデータベース１４に登録されたポリシー情報のデータ構成例を示した図である。本実施の形態におけるポリシー情報は、次の項目にて構成される。「ポリシーＩＤ」には当該ポリシーを識別する情報が設定される。「ポリシー名」には当該ポリシーの名称が設定される。「アカウント」には当該ポリシーが設定されるユーザＩＤ又はグループＩＤが設定される。「許可権限」には、当該アカウントに該当するユーザ又は当該アカウントにより特定されるグループに所属するユーザに対して許可されるアクセス権限が設定される。「ログ記録」には、当該ポリシーが適用されたコンテンツへのアクセスの記録の是非が設定される。「有効期限」には、当該ポリシーの有効期限が設定される。そして、ポリシー情報には、更に本実施の形態の特徴的な規定情報を構成する「アカウント更新内容」及び「ポリシー設定情報」が含まれる。後述するように、本実施の形態では、ユーザアカウント情報の更新に伴い当該ポリシーの設定内容を制限又は緩和する付属ポリシーを生成することになるが、「ポリシー設定情報」には、付属ポリシーを生成する際に参照される規定条件、すなわち当該ポリシーの設定内容に対してどのような制限を加えるか、あるいは緩和するかという規定条件が設定される。「アカウント更新内容」には、当該ポリシーに設定されたアカウントのユーザアカウント情報又はそのアカウントにより特定されるグループに所属するユーザのユーザアカウント情報に対してどのような更新が行われたかという更新内容が設定される。本実施の形態では、以上のポリシーの設定内容に従ってコンテンツへのアクセス制御が行われるが、ここで、アカウントデータベース２３に登録されているユーザアカウント情報が更新されたときの動作について説明する。
【００２５】
アカウント管理サーバ２０において、例えば、図３に例示したグループＩＤ“Ｇ００１”のグループのユーザアカウント情報がアカウントデータベース２３から２００９年９月３０日に削除されたとする。この削除された後のアカウントデータベース２３のデータ設定例を図５に示す。図５に示したように、アカウントデータベース２３からグループＩＤ“Ｇ００１”のユーザアカウント情報が削除され、またグループＩＤ“Ｇ００１”のグループに所属していたユーザＩＤのユーザアカウント情報からグループＩＤ“Ｇ００１”のデータが削除される。なお、図示していないが、ユーザアカウント情報の削除日も記録するようにすればよい。
【００２６】
定期的な検出処理等を行うことによって以上の内容のユーザアカウント情報の更新を検知すると、更新通知部２２は、更新通知情報をポリシーサーバ１０へ送信することによってユーザアカウント情報が更新されたことを通知する。送信する更新通知情報には、更新の旨と追加、削除等更新の具体的内容を示すデータコード、ユーザアカウント情報が更新されたアカウントの特定情報、具体的にはグループＩＤ及び／又はユーザＩＤが含まれる。以下、ポリシーサーバ１０における動作について図６に示したフローチャートを用いて説明する。
【００２７】
アカウント管理サーバ２０からアカウントの更新通知情報が送られてくると、更新受付部１１は、それを受け付け（ステップ１０１）、ポリシー更新部１２へ送る。ポリシー更新部１２は、更新受付部１１から送られた更新通知情報に含まれている情報からグループＩＤ“Ｇ００１”のグループが削除されたことを認識すると、ポリシーデータベース１４を検索することにより、グループＩＤ“Ｇ００１”がアカウントに設定されたポリシーであって「アカウント更新内容」にグループＩＤ“Ｇ００１”を削除する内容が設定されたポリシーを特定する（ステップ１０２）。そして、ポリシー更新部１２は、特定したポリシーに対応した「ポリシー設定情報」を読み出し、その読み出した「ポリシー設定情報」の設定内容に従って付属ポリシーを新たに生成する（ステップ１０３）。図４に例示した「ポリシー設定情報」の設定内容によれば、Ｇ００１のメンバーに対し、有効期限を１週間として、許可権限を“閲覧”のみとしたポリシーを生成するという規定条件が付属ポリシーの生成指示として設定されているのが把握できるので、ポリシー更新部１２は、この指示に従ってグループＩＤ“Ｇ００１”のグループが削除された日である２００９年９月３０日から求めた有効期限付きの付属ポリシーを生成する。このようにして生成された付属ポリシーの例を図７に示す。なお、「ログ記録」には、デフォルト値として「記録する」を設定するようにしたが、「記録しない」をデフォルト値としてもよいし、設定情報に常に設定するようにしてもよい。また、図７では、「ポリシー設定情報」の設定内容が理解しやすいように文字にて表したが、実際にはコンピュータが内容を判読できるコードデータにて設定されている。以下のポリシーを示す図においても同様である。
【００２８】
本実施の形態においては、以上のようにして生成された付属ポリシーによって既存のポリシーにより設定されているアクセス権限が制限されることになる。すなわち、グループＩＤ“Ｇ００１”に所属するユーザには、本来、２００９年１１月２６日まで閲覧と編集が許可されていたが、グループＩＤ“Ｇ００１”に所属していたユーザ、この例ではユーザＩＤ“Ｕ００１”，“Ｕ００２”の各ユーザは、２００９年１０月７日まで閲覧のみが許可されるように制限される。換言すると、今回のグループＩＤ“Ｇ００１”のアカウントが２００９年９月３０日に削除されたのにもかかわらず、ユーザＩＤ“Ｕ００１”，“Ｕ００２”の各ユーザに対しては、２００９年１０月７日まで閲覧できる権限を付与することになる。
【００２９】
なお、グループＩＤ“Ｇ００１”に所属するユーザは、ユーザＩＤ“Ｕ００１”及び“Ｕ００２”のユーザであることは、アカウント管理サーバ２０に問い合わせるようにしてもよいし、更新通知情報に含めてアカウント管理サーバ２０に送信してもらうようにしてもよい。
【００３０】
実施の形態２．
上記実施の形態１では、グループのアカウントが削除された場合を例にして説明したが、本実施の形態では、あるグループからメンバーの一部を削除する場合を例にして説明する。なお、本実施の形態におけるアクセス管理システムのブロック構成及びハードウェア構成は、実施の形態１と同じでよい。
【００３１】
以下、本実施の形態における動作について説明するが、まず、ポリシー定義部１３は、ポリシー情報を生成してポリシーデータベース１４に設定登録する。具体的な動作の内容は実施の形態１と同じでよい。図８は、本実施の形態におけるポリシーデータベース１４に登録されたポリシー情報のデータ構成例を示した図である。実施の形態１とは、「アカウント更新内容」及び「ポリシー設定情報」の設定内容が異なっている。ここで、アカウントデータベース２３に登録されているユーザアカウント情報が更新されたときの動作について説明する。
【００３２】
アカウント管理サーバ２０において、例えば、図３に例示したグループＩＤ“Ｇ００１”のグループからユーザＩＤ“Ｕ００１”のユーザがメンバーから外されたとする。このメンバーから外された後のアカウントデータベース２３のデータ設定例を図９に示す。図９に示したように、ユーザＩＤ“Ｕ００１”の所属グループからグループＩＤ“Ｇ００１”が削除され、またグループＩＤ“Ｇ００１”のメンバーからユーザのユーザＩＤ“Ｕ００１”が削除される。このようなユーザアカウント情報の更新は、実施の形態１と同様に更新通知部２２が更新通知情報を送信することによりポリシーサーバ１０へ通知される。送信される更新通知情報には、更新対象のアカウント（グループＩＤ“Ｇ００１”）と、メンバーが削除された旨とその削除されたユーザのユーザＩＤ“Ｕ００１”が少なくとも含まれている。
【００３３】
以下、ポリシーサーバ１０における動作について説明するが、本実施の形態における動作手順は、実施の形態１と同じでよいので、図６を用いて説明する。
【００３４】
アカウント管理サーバ２０からアカウントの更新通知情報が送られてくると、更新受付部１１は、それを受け付け（ステップ１０１）、ポリシー更新部１２へ送る。ポリシー更新部１２は、更新受付部１１から送られた更新通知情報に含まれている情報からグループＩＤ“Ｇ００１”のグループに所属するユーザＩＤ“Ｕ００１”のユーザがメンバーから削除されたことを認識すると、ポリシーデータベース１４を検索することにより、グループＩＤ“Ｇ００１”がアカウントに設定されたポリシーであって「アカウント更新内容」にグループＩＤ“Ｇ００１”からメンバーを削除する内容が設定されたポリシーを特定する（ステップ１０２）。そして、ポリシー更新部１２は、特定したポリシーに対応した「ポリシー設定情報」を読み出し、その読み出した「ポリシー設定情報」の設定内容に従ってグループＩＤ“Ｇ００１”のグループからユーザＩＤ“Ｕ００１”が削除された日である２００９年９月３０日から求めた有効期限付きの付属ポリシーを新たに生成する（ステップ１０３）。図８に例示した「ポリシー設定情報」の設定内容によれば、Ｇ００１のメンバーに対し、有効期限を１週間として、許可権限を“閲覧”のみとしたポリシーを生成するという規定条件が付属ポリシーの生成指示として設定されているのが把握できるので、ポリシー更新部１２は、この指示に従って付属ポリシーを生成する。このようにして生成された付属ポリシーの例を図１０に示す。
【００３５】
本実施の形態においては、以上のようにして生成された付属ポリシーによって既存のポリシーにより設定されているアクセス権限が制限されることになる。すなわち、グループＩＤ“Ｇ００１”に所属するユーザＩＤ“Ｕ００１”のユーザには、本来、２００９年１１月２６日まで閲覧と編集が許可されていたが、付属ポリシーの設定により、ユーザＩＤ“Ｕ００１”のユーザは、２００９年１０月７日まで閲覧のみが許可されるように制限される。換言すると、今回のグループＩＤ“Ｇ００１”のグループからユーザＩＤ“Ｕ００１”が２００９年９月３０日に削除されたのにもかかわらず、ユーザＩＤ“Ｕ００１”のユーザは、２００９年１０月７日までは閲覧権限を維持することになる。
【００３６】
なお、上記各実施の形態において説明した構成を利用することで、アカウントの削除やメンバーのグループからの削除に伴い本来消失するアクセス権限を一定期限内であれば制限されたアクセス権限、換言すると消失すべきアクセス権限の一部を維持することができるようにした。ただ、本実施の形態では、アカウントやグループからのユーザの削除というユーザアカウント情報の更新以外にもアカウントやメンバーのグループの追加登録等にも対応可能であり、前述した付属ポリシーにより一部のアクセス権限を維持するという場合に限定する必要はない。すなわち、既存のポリシーにより付与されるアクセス権限と、付属ポリシーにより付与されるアクセス権限との関係は、付属ポリシーにより同一権限、すなわち現在のアクセス権限全てをそのまま維持するようにしてもよいし、緩和した権限、すなわち現在のアクセス権限（例えば、閲覧）を拡張したアクセス権限（例えば、閲覧と編集）を許可するようにしてもよい。更には、現在のアクセス権限（例えば、閲覧）とアクセス異なる権限（例えば、編集）を許可することも可能である。
【００３７】
また、上記各実施の形態においては、誰にいつまで何のアクセス権限を許可するかという対象者、有効期限及び許可権限をポリシー設定情報に設定する場合を例にしたが、設定する項目はこれに限定する必要はなく、必要に応じて適切な項目を設定すればよい。更に、上記の各実施の形態では示していないが、各ポリシーＩＤに特定の文書等のコンテンツを識別するＩＤを対応付けておくことにより、各コンテンツ毎に適用するポリシーや付属ポリシーを変えるようにしてもよい。
【図面の簡単な説明】
【００３８】
【図１】本発明に係るアクセス管理システムの実施の形態１を示したブロック構成図である。
【図２】実施の形態１におけるポリシーサーバを形成するサーバコンピュータのハードウェア構成図である。
【図３】実施の形態１におけるアカウントデータベースのデータ構成例を示した図である。
【図４】実施の形態１におけるポリシーデータベースに登録されたポリシー情報のデータ構成例を示した図である。
【図５】実施の形態１においてグループアカウントが削除された後のアカウントデータベースのデータ設定例を示した図である。
【図６】実施の形態１のポリシーサーバにおける動作手順を示したフローチャートである。
【図７】実施の形態１においてグループアカウントが削除された後のポリシーデータベースに登録されたポリシー情報のデータ設定例を示した図である。
【図８】実施の形態２におけるポリシーデータベースに登録されたポリシー情報のデータ構成例を示した図である。
【図９】実施の形態２においてグループアカウントからユーザアカウントが削除された後のアカウントデータベースのデータ設定例を示した図である。
【図１０】実施の形態２においてグループアカウントからユーザアカウントが削除された後のポリシーデータベースに登録されたポリシー情報のデータ設定例を示した図である。
【符号の説明】
【００３９】
２ ネットワーク、１０ ポリシーサーバ、１１ 更新受付部、１２ ポリシー更新部、１３ ポリシー定義部、１４ ポリシーデータベース、２０ アカウント管理サーバ、２１ 情報管理部、２２ 更新通知部、２３ アカウントデータベース、３０ 管理者端末、４１ ＣＰＵ、４２ ＲＯＭ、４３ ＲＡＭ、４４ ハードディスクドライブ（ＨＤＤ）、４５ ＨＤＤコントローラ、４６ マウス、４７ キーボード、４８ ディスプレイ、４９ 入出力コントローラ、５０ ネットワークコントローラ、５１ 内部バス。
【技術分野】
【０００１】
本発明は、ポリシーサーバ、アクセス管理システム及びポリシー管理プログラムに関する。
【背景技術】
【０００２】
ポリシーを設定してセキュリティ管理をしているシステムにおいて、例えば組織変更や人事異動によりユーザ情報の設定が変更された場合、ポリシーの設定も合わせて変更する必要がある。従来では、ユーザ情報の設定変更が生じた場合、ポリシーの設定も連動して変更する技術が提案されている（例えば、特許文献１）。
【０００３】
【特許文献１】特開２００５−４５４９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
ところで、従来においては、ユーザ情報の設定変更に連動してポリシーの設定も変更するので、元のアクセス権限がポリシーの設定変更に伴い即座に消失してしまう場合もあり得る。従って、例えば人事異動により所属グループが変更した後でも一定期間は元の所属グループのコンテンツをアクセスしたいような場合でも、従来においては、元の所属グループにおいて適用されていたアクセス権限を残しておくような仕組みがなかった。
【０００５】
本発明は、ユーザアカウント情報の設定更新に伴うポリシーの設定に柔軟性を持たせる仕組みを提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明に係るポリシーサーバは、ポリシーと、当該ポリシーが設定されたアカウントのユーザアカウント情報の更新に伴って当該ポリシーの設定内容を規定する規定条件が設定された規定情報と、を対応付けして記憶するポリシー記憶手段と、ユーザアカウント情報の更新通知を受け付ける受付手段と、受け付けた更新通知により特定される更新対象のアカウントに対応するポリシーを特定し、そのポリシーに対応付けられた規定情報に従って当該ポリシーの設定内容を制限又は緩和する付属ポリシーを生成する生成手段と、を有することを特徴とする。
【０００７】
また、前記生成手段は、規定情報に設定されている有効期限に従い期限付きの付属ポリシーを生成することを特徴とする。
【０００８】
本発明に係るアクセス管理システムは、ポリシーサーバと、前記ポリシーサーバに設定されたポリシーに従ってアクセス権が管理されるユーザ又はグループのユーザアカウント情報を管理するアカウントサーバと、を有し、前記ポリシーサーバは、ポリシーと、当該ポリシーが設定されたアカウントのユーザアカウント情報の更新に伴って当該ポリシーの設定内容を規定する規定条件が設定された規定情報と、を対応付けして記憶するポリシー記憶手段と、ユーザアカウント情報の更新通知を受け付ける受付手段と、受け付けた更新通知により特定される更新対象のアカウントに対応するポリシーを特定し、そのポリシーに対応付けられた規定情報に従って当該ポリシーの設定内容を制限又は緩和する付属ポリシーを生成する生成手段と、を有し、前記アカウントサーバは、ユーザアカウント情報を記憶するユーザアカウント情報記憶手段と、要求に応じて前記ユーザアカウント情報記憶手段の更新を行う更新手段と、前記更新手段により前記ユーザアカウント情報記憶手段に記憶されたユーザアカウント情報が更新されたときに更新されたアカウントの特定情報を含む更新通知を前記ポリシーサーバに送信する送信手段と、を有することを特徴とする。
【０００９】
本発明に係るポリシー管理プログラムは、ポリシーサーバを、ユーザアカウント情報の更新通知を受け付ける受付手段、受け付けた更新通知により特定される更新対象のアカウントに対応するポリシーを特定し、そのポリシーに対応付けられた規定情報を、ポリシーと当該ポリシーが設定されたアカウントのユーザアカウント情報の更新に伴って当該ポリシーの設定内容を規定する規定条件が設定された規定情報とを対応付けして記憶するポリシー記憶手段から読み出す手段、読み出した規定情報に従って当該ポリシーの設定内容を制限又は緩和する付属ポリシーを生成する生成手段、として機能させる。
【発明の効果】
【００１０】
請求項１，３，４記載の発明によれば、ユーザアカウント情報が更新された場合に、該当するユーザに対するアクセス権限に制限を加えたり、緩和したりすることができる。
【００１１】
請求項１記載の発明によれば、ユーザに対して制限又は緩和したアクセス権限を期限付きとすることができる。
【発明を実施するための最良の形態】
【００１２】
以下、図面に基づいて、本発明の好適な実施の形態について説明する。
【００１３】
実施の形態１．
図１は、本発明に係るアクセス管理システムの一実施の形態を示したブロック構成図である。図１には、システム内におけるポリシーを管理するポリシーサーバ１０、システム利用者のアカウントを管理するアカウント管理サーバ２０及び各種設定を行う管理者が使用する管理者端末３０がネットワーク２にて接続された構成が示されている。
【００１４】
図２は、本実施の形態におけるポリシーサーバ１０を形成するサーバコンピュータのハードウェア構成図である。本実施の形態においてポリシーサーバ１０を形成するサーバコンピュータは、従前から存在する汎用的なハードウェア構成で実現できる。すなわち、コンピュータは、図２に示したようにＣＰＵ４１、ＲＯＭ４２、ＲＡＭ４３、ハードディスクドライブ（ＨＤＤ）４４を接続したＨＤＤコントローラ４５、入力手段として設けられたマウス４６とキーボード４７、及び表示装置として設けられたディスプレイ４８をそれぞれ接続する入出力コントローラ４９、通信手段として設けられたネットワークコントローラ５０を内部バス５１に接続して構成される。
【００１５】
なお、アカウント管理サーバ２０及び管理者端末３０もコンピュータであることから、そのハードウェア構成は、図２と同じように図示することができる。
【００１６】
図１に戻り、ポリシーサーバ１０は、更新受付部１１、ポリシー更新部１２、ポリシー定義部１３及びポリシーデータベース（ＤＢ）１４を有している。更新受付部１１は、アカウント管理サーバ２０から送られてくるユーザアカウント情報の更新通知を受け付ける。ポリシー更新部１２は、アカウント管理サーバ２０からの更新通知に応じてポリシーデータベース１４の設定内容を更新する。ポリシー定義部１３は、ポリシーデータベース１４にポリシーを設定登録する。ポリシーデータベース１４には、定義されたポリシーが登録されるが、この内容については追って説明する。
【００１７】
ポリシーサーバ１０における各構成要素１１〜１３は、ポリシーサーバ１０を形成するコンピュータと、コンピュータに搭載されたＣＰＵ４１で動作するプログラムとの協調動作により実現される。またポリシーデータベース１４は、ポリシーサーバ１０に搭載されたＨＤＤ４４にて実現される。
【００１８】
アカウント管理サーバ２０は、情報管理部２１、更新通知部２２及びアカウントデータベース（ＤＢ）２３を有している。情報管理部２１は、管理者端末３０からの要求に応じてアカウントデータベース２３に登録されているユーザアカウント情報の新規登録、更新、削除等の情報管理を行う。更新通知部２２は、情報管理部２１によりアカウントデータベース２３に記憶されたユーザアカウント情報が更新されたときに更新通知をポリシーサーバ１０に送信する。
【００１９】
図３は、本実施の形態におけるアカウントデータベース２３のデータ構成例を示した図である。アカウントデータベース２３に設定されるアカウント情報は、２つのデータテーブルにて構成される。１つのデータテーブルには、本システムのユーザを特定するユーザＩＤ、ユーザ名及び当該ユーザがいずれかのグループに所属している場合には、その所属グループのグループＩＤが対応付けして設定される。他のデータテーブルには、アカウント情報は、グループを特定するグループＩＤ、グループ名及び当該グループに所属しているユーザのユーザＩＤが対応付けして設定される。
【００２０】
アカウント管理サーバ２０における各構成要素２１〜２２は、アカウント管理サーバ２０を形成するコンピュータと、コンピュータに搭載されたＣＰＵ４１で動作するプログラムとの協調動作により実現される。またアカウントデータベース２３は、アカウント管理サーバ２０に搭載されたＨＤＤ４４にて実現される。
【００２１】
また、本実施の形態で用いるプログラムは、通信手段により提供することはもちろん、ＣＤ−ＲＯＭやＤＶＤ−ＲＯＭ等のコンピュータ読み取り可能な記録媒体に格納して提供することも可能である。通信手段や記録媒体から提供されたプログラムはコンピュータにインストールされ、コンピュータのＣＰＵがインストールプログラムを順次実行することで各種処理が実現される。
【００２２】
次に、本実施の形態における動作について説明する。
【００２３】
管理者による操作に従って入力指示されたポリシー情報を受け付けると、ポリシー定義部１３は、ポリシー情報を生成してポリシーデータベース１４に設定登録する。また、ポリシー定義部１３は、管理者による操作に従って入力指示された設定情報を受け付け、その設定情報を、設定情報が付加されていない対応する既存のポリシー情報に付加する。
【００２４】
図４は、本実施の形態におけるポリシーデータベース１４に登録されたポリシー情報のデータ構成例を示した図である。本実施の形態におけるポリシー情報は、次の項目にて構成される。「ポリシーＩＤ」には当該ポリシーを識別する情報が設定される。「ポリシー名」には当該ポリシーの名称が設定される。「アカウント」には当該ポリシーが設定されるユーザＩＤ又はグループＩＤが設定される。「許可権限」には、当該アカウントに該当するユーザ又は当該アカウントにより特定されるグループに所属するユーザに対して許可されるアクセス権限が設定される。「ログ記録」には、当該ポリシーが適用されたコンテンツへのアクセスの記録の是非が設定される。「有効期限」には、当該ポリシーの有効期限が設定される。そして、ポリシー情報には、更に本実施の形態の特徴的な規定情報を構成する「アカウント更新内容」及び「ポリシー設定情報」が含まれる。後述するように、本実施の形態では、ユーザアカウント情報の更新に伴い当該ポリシーの設定内容を制限又は緩和する付属ポリシーを生成することになるが、「ポリシー設定情報」には、付属ポリシーを生成する際に参照される規定条件、すなわち当該ポリシーの設定内容に対してどのような制限を加えるか、あるいは緩和するかという規定条件が設定される。「アカウント更新内容」には、当該ポリシーに設定されたアカウントのユーザアカウント情報又はそのアカウントにより特定されるグループに所属するユーザのユーザアカウント情報に対してどのような更新が行われたかという更新内容が設定される。本実施の形態では、以上のポリシーの設定内容に従ってコンテンツへのアクセス制御が行われるが、ここで、アカウントデータベース２３に登録されているユーザアカウント情報が更新されたときの動作について説明する。
【００２５】
アカウント管理サーバ２０において、例えば、図３に例示したグループＩＤ“Ｇ００１”のグループのユーザアカウント情報がアカウントデータベース２３から２００９年９月３０日に削除されたとする。この削除された後のアカウントデータベース２３のデータ設定例を図５に示す。図５に示したように、アカウントデータベース２３からグループＩＤ“Ｇ００１”のユーザアカウント情報が削除され、またグループＩＤ“Ｇ００１”のグループに所属していたユーザＩＤのユーザアカウント情報からグループＩＤ“Ｇ００１”のデータが削除される。なお、図示していないが、ユーザアカウント情報の削除日も記録するようにすればよい。
【００２６】
定期的な検出処理等を行うことによって以上の内容のユーザアカウント情報の更新を検知すると、更新通知部２２は、更新通知情報をポリシーサーバ１０へ送信することによってユーザアカウント情報が更新されたことを通知する。送信する更新通知情報には、更新の旨と追加、削除等更新の具体的内容を示すデータコード、ユーザアカウント情報が更新されたアカウントの特定情報、具体的にはグループＩＤ及び／又はユーザＩＤが含まれる。以下、ポリシーサーバ１０における動作について図６に示したフローチャートを用いて説明する。
【００２７】
アカウント管理サーバ２０からアカウントの更新通知情報が送られてくると、更新受付部１１は、それを受け付け（ステップ１０１）、ポリシー更新部１２へ送る。ポリシー更新部１２は、更新受付部１１から送られた更新通知情報に含まれている情報からグループＩＤ“Ｇ００１”のグループが削除されたことを認識すると、ポリシーデータベース１４を検索することにより、グループＩＤ“Ｇ００１”がアカウントに設定されたポリシーであって「アカウント更新内容」にグループＩＤ“Ｇ００１”を削除する内容が設定されたポリシーを特定する（ステップ１０２）。そして、ポリシー更新部１２は、特定したポリシーに対応した「ポリシー設定情報」を読み出し、その読み出した「ポリシー設定情報」の設定内容に従って付属ポリシーを新たに生成する（ステップ１０３）。図４に例示した「ポリシー設定情報」の設定内容によれば、Ｇ００１のメンバーに対し、有効期限を１週間として、許可権限を“閲覧”のみとしたポリシーを生成するという規定条件が付属ポリシーの生成指示として設定されているのが把握できるので、ポリシー更新部１２は、この指示に従ってグループＩＤ“Ｇ００１”のグループが削除された日である２００９年９月３０日から求めた有効期限付きの付属ポリシーを生成する。このようにして生成された付属ポリシーの例を図７に示す。なお、「ログ記録」には、デフォルト値として「記録する」を設定するようにしたが、「記録しない」をデフォルト値としてもよいし、設定情報に常に設定するようにしてもよい。また、図７では、「ポリシー設定情報」の設定内容が理解しやすいように文字にて表したが、実際にはコンピュータが内容を判読できるコードデータにて設定されている。以下のポリシーを示す図においても同様である。
【００２８】
本実施の形態においては、以上のようにして生成された付属ポリシーによって既存のポリシーにより設定されているアクセス権限が制限されることになる。すなわち、グループＩＤ“Ｇ００１”に所属するユーザには、本来、２００９年１１月２６日まで閲覧と編集が許可されていたが、グループＩＤ“Ｇ００１”に所属していたユーザ、この例ではユーザＩＤ“Ｕ００１”，“Ｕ００２”の各ユーザは、２００９年１０月７日まで閲覧のみが許可されるように制限される。換言すると、今回のグループＩＤ“Ｇ００１”のアカウントが２００９年９月３０日に削除されたのにもかかわらず、ユーザＩＤ“Ｕ００１”，“Ｕ００２”の各ユーザに対しては、２００９年１０月７日まで閲覧できる権限を付与することになる。
【００２９】
なお、グループＩＤ“Ｇ００１”に所属するユーザは、ユーザＩＤ“Ｕ００１”及び“Ｕ００２”のユーザであることは、アカウント管理サーバ２０に問い合わせるようにしてもよいし、更新通知情報に含めてアカウント管理サーバ２０に送信してもらうようにしてもよい。
【００３０】
実施の形態２．
上記実施の形態１では、グループのアカウントが削除された場合を例にして説明したが、本実施の形態では、あるグループからメンバーの一部を削除する場合を例にして説明する。なお、本実施の形態におけるアクセス管理システムのブロック構成及びハードウェア構成は、実施の形態１と同じでよい。
【００３１】
以下、本実施の形態における動作について説明するが、まず、ポリシー定義部１３は、ポリシー情報を生成してポリシーデータベース１４に設定登録する。具体的な動作の内容は実施の形態１と同じでよい。図８は、本実施の形態におけるポリシーデータベース１４に登録されたポリシー情報のデータ構成例を示した図である。実施の形態１とは、「アカウント更新内容」及び「ポリシー設定情報」の設定内容が異なっている。ここで、アカウントデータベース２３に登録されているユーザアカウント情報が更新されたときの動作について説明する。
【００３２】
アカウント管理サーバ２０において、例えば、図３に例示したグループＩＤ“Ｇ００１”のグループからユーザＩＤ“Ｕ００１”のユーザがメンバーから外されたとする。このメンバーから外された後のアカウントデータベース２３のデータ設定例を図９に示す。図９に示したように、ユーザＩＤ“Ｕ００１”の所属グループからグループＩＤ“Ｇ００１”が削除され、またグループＩＤ“Ｇ００１”のメンバーからユーザのユーザＩＤ“Ｕ００１”が削除される。このようなユーザアカウント情報の更新は、実施の形態１と同様に更新通知部２２が更新通知情報を送信することによりポリシーサーバ１０へ通知される。送信される更新通知情報には、更新対象のアカウント（グループＩＤ“Ｇ００１”）と、メンバーが削除された旨とその削除されたユーザのユーザＩＤ“Ｕ００１”が少なくとも含まれている。
【００３３】
以下、ポリシーサーバ１０における動作について説明するが、本実施の形態における動作手順は、実施の形態１と同じでよいので、図６を用いて説明する。
【００３４】
アカウント管理サーバ２０からアカウントの更新通知情報が送られてくると、更新受付部１１は、それを受け付け（ステップ１０１）、ポリシー更新部１２へ送る。ポリシー更新部１２は、更新受付部１１から送られた更新通知情報に含まれている情報からグループＩＤ“Ｇ００１”のグループに所属するユーザＩＤ“Ｕ００１”のユーザがメンバーから削除されたことを認識すると、ポリシーデータベース１４を検索することにより、グループＩＤ“Ｇ００１”がアカウントに設定されたポリシーであって「アカウント更新内容」にグループＩＤ“Ｇ００１”からメンバーを削除する内容が設定されたポリシーを特定する（ステップ１０２）。そして、ポリシー更新部１２は、特定したポリシーに対応した「ポリシー設定情報」を読み出し、その読み出した「ポリシー設定情報」の設定内容に従ってグループＩＤ“Ｇ００１”のグループからユーザＩＤ“Ｕ００１”が削除された日である２００９年９月３０日から求めた有効期限付きの付属ポリシーを新たに生成する（ステップ１０３）。図８に例示した「ポリシー設定情報」の設定内容によれば、Ｇ００１のメンバーに対し、有効期限を１週間として、許可権限を“閲覧”のみとしたポリシーを生成するという規定条件が付属ポリシーの生成指示として設定されているのが把握できるので、ポリシー更新部１２は、この指示に従って付属ポリシーを生成する。このようにして生成された付属ポリシーの例を図１０に示す。
【００３５】
本実施の形態においては、以上のようにして生成された付属ポリシーによって既存のポリシーにより設定されているアクセス権限が制限されることになる。すなわち、グループＩＤ“Ｇ００１”に所属するユーザＩＤ“Ｕ００１”のユーザには、本来、２００９年１１月２６日まで閲覧と編集が許可されていたが、付属ポリシーの設定により、ユーザＩＤ“Ｕ００１”のユーザは、２００９年１０月７日まで閲覧のみが許可されるように制限される。換言すると、今回のグループＩＤ“Ｇ００１”のグループからユーザＩＤ“Ｕ００１”が２００９年９月３０日に削除されたのにもかかわらず、ユーザＩＤ“Ｕ００１”のユーザは、２００９年１０月７日までは閲覧権限を維持することになる。
【００３６】
なお、上記各実施の形態において説明した構成を利用することで、アカウントの削除やメンバーのグループからの削除に伴い本来消失するアクセス権限を一定期限内であれば制限されたアクセス権限、換言すると消失すべきアクセス権限の一部を維持することができるようにした。ただ、本実施の形態では、アカウントやグループからのユーザの削除というユーザアカウント情報の更新以外にもアカウントやメンバーのグループの追加登録等にも対応可能であり、前述した付属ポリシーにより一部のアクセス権限を維持するという場合に限定する必要はない。すなわち、既存のポリシーにより付与されるアクセス権限と、付属ポリシーにより付与されるアクセス権限との関係は、付属ポリシーにより同一権限、すなわち現在のアクセス権限全てをそのまま維持するようにしてもよいし、緩和した権限、すなわち現在のアクセス権限（例えば、閲覧）を拡張したアクセス権限（例えば、閲覧と編集）を許可するようにしてもよい。更には、現在のアクセス権限（例えば、閲覧）とアクセス異なる権限（例えば、編集）を許可することも可能である。
【００３７】
また、上記各実施の形態においては、誰にいつまで何のアクセス権限を許可するかという対象者、有効期限及び許可権限をポリシー設定情報に設定する場合を例にしたが、設定する項目はこれに限定する必要はなく、必要に応じて適切な項目を設定すればよい。更に、上記の各実施の形態では示していないが、各ポリシーＩＤに特定の文書等のコンテンツを識別するＩＤを対応付けておくことにより、各コンテンツ毎に適用するポリシーや付属ポリシーを変えるようにしてもよい。
【図面の簡単な説明】
【００３８】
【図１】本発明に係るアクセス管理システムの実施の形態１を示したブロック構成図である。
【図２】実施の形態１におけるポリシーサーバを形成するサーバコンピュータのハードウェア構成図である。
【図３】実施の形態１におけるアカウントデータベースのデータ構成例を示した図である。
【図４】実施の形態１におけるポリシーデータベースに登録されたポリシー情報のデータ構成例を示した図である。
【図５】実施の形態１においてグループアカウントが削除された後のアカウントデータベースのデータ設定例を示した図である。
【図６】実施の形態１のポリシーサーバにおける動作手順を示したフローチャートである。
【図７】実施の形態１においてグループアカウントが削除された後のポリシーデータベースに登録されたポリシー情報のデータ設定例を示した図である。
【図８】実施の形態２におけるポリシーデータベースに登録されたポリシー情報のデータ構成例を示した図である。
【図９】実施の形態２においてグループアカウントからユーザアカウントが削除された後のアカウントデータベースのデータ設定例を示した図である。
【図１０】実施の形態２においてグループアカウントからユーザアカウントが削除された後のポリシーデータベースに登録されたポリシー情報のデータ設定例を示した図である。
【符号の説明】
【００３９】
２ ネットワーク、１０ ポリシーサーバ、１１ 更新受付部、１２ ポリシー更新部、１３ ポリシー定義部、１４ ポリシーデータベース、２０ アカウント管理サーバ、２１ 情報管理部、２２ 更新通知部、２３ アカウントデータベース、３０ 管理者端末、４１ ＣＰＵ、４２ ＲＯＭ、４３ ＲＡＭ、４４ ハードディスクドライブ（ＨＤＤ）、４５ ＨＤＤコントローラ、４６ マウス、４７ キーボード、４８ ディスプレイ、４９ 入出力コントローラ、５０ ネットワークコントローラ、５１ 内部バス。
【特許請求の範囲】
【請求項１】
ポリシーと、当該ポリシーが設定されたアカウントのユーザアカウント情報の更新に伴って当該ポリシーの設定内容を規定する規定条件が設定された規定情報と、を対応付けして記憶するポリシー記憶手段と、
ユーザアカウント情報の更新通知を受け付ける受付手段と、
受け付けた更新通知により特定される更新対象のアカウントに対応するポリシーを特定し、そのポリシーに対応付けられた規定情報に従って当該ポリシーの設定内容を制限又は緩和する付属ポリシーを生成する生成手段と、
を有することを特徴とするポリシーサーバ。
【請求項２】
請求項１記載のポリシーサーバにおいて、
前記生成手段は、規定情報に設定されている有効期限に従い期限付きの付属ポリシーを生成することを特徴とするポリシーサーバ。
【請求項３】
ポリシーサーバと、
前記ポリシーサーバに設定されたポリシーに従ってアクセス権が管理されるユーザ又はグループのユーザアカウント情報を管理するアカウントサーバと、
を有し、
前記ポリシーサーバは、
ポリシーと、当該ポリシーが設定されたアカウントのユーザアカウント情報の更新に伴って当該ポリシーの設定内容を規定する規定条件が設定された規定情報と、を対応付けして記憶するポリシー記憶手段と、
ユーザアカウント情報の更新通知を受け付ける受付手段と、
受け付けた更新通知により特定される更新対象のアカウントに対応するポリシーを特定し、そのポリシーに対応付けられた規定情報に従って当該ポリシーの設定内容を制限又は緩和する付属ポリシーを生成する生成手段と、
を有し、
前記アカウントサーバは、
ユーザアカウント情報を記憶するユーザアカウント情報記憶手段と、
要求に応じて前記ユーザアカウント情報記憶手段の更新を行う更新手段と、
前記更新手段により前記ユーザアカウント情報記憶手段に記憶されたユーザアカウント情報が更新されたときに更新されたアカウントの特定情報を含む更新通知を前記ポリシーサーバに送信する送信手段と、
を有することを特徴とするアクセス管理システム。
【請求項４】
ポリシーサーバを、
ユーザアカウント情報の更新通知を受け付ける受付手段、
受け付けた更新通知により特定される更新対象のアカウントに対応するポリシーを特定し、そのポリシーに対応付けられた規定情報を、ポリシーと当該ポリシーが設定されたアカウントのユーザアカウント情報の更新に伴って当該ポリシーの設定内容を規定する規定条件が設定された規定情報とを対応付けして記憶するポリシー記憶手段から読み出す手段、
読み出した規定情報に従って当該ポリシーの設定内容を制限又は緩和する付属ポリシーを生成する生成手段、
として機能させるポリシー管理プログラム。
【請求項１】
ポリシーと、当該ポリシーが設定されたアカウントのユーザアカウント情報の更新に伴って当該ポリシーの設定内容を規定する規定条件が設定された規定情報と、を対応付けして記憶するポリシー記憶手段と、
ユーザアカウント情報の更新通知を受け付ける受付手段と、
受け付けた更新通知により特定される更新対象のアカウントに対応するポリシーを特定し、そのポリシーに対応付けられた規定情報に従って当該ポリシーの設定内容を制限又は緩和する付属ポリシーを生成する生成手段と、
を有することを特徴とするポリシーサーバ。
【請求項２】
請求項１記載のポリシーサーバにおいて、
前記生成手段は、規定情報に設定されている有効期限に従い期限付きの付属ポリシーを生成することを特徴とするポリシーサーバ。
【請求項３】
ポリシーサーバと、
前記ポリシーサーバに設定されたポリシーに従ってアクセス権が管理されるユーザ又はグループのユーザアカウント情報を管理するアカウントサーバと、
を有し、
前記ポリシーサーバは、
ポリシーと、当該ポリシーが設定されたアカウントのユーザアカウント情報の更新に伴って当該ポリシーの設定内容を規定する規定条件が設定された規定情報と、を対応付けして記憶するポリシー記憶手段と、
ユーザアカウント情報の更新通知を受け付ける受付手段と、
受け付けた更新通知により特定される更新対象のアカウントに対応するポリシーを特定し、そのポリシーに対応付けられた規定情報に従って当該ポリシーの設定内容を制限又は緩和する付属ポリシーを生成する生成手段と、
を有し、
前記アカウントサーバは、
ユーザアカウント情報を記憶するユーザアカウント情報記憶手段と、
要求に応じて前記ユーザアカウント情報記憶手段の更新を行う更新手段と、
前記更新手段により前記ユーザアカウント情報記憶手段に記憶されたユーザアカウント情報が更新されたときに更新されたアカウントの特定情報を含む更新通知を前記ポリシーサーバに送信する送信手段と、
を有することを特徴とするアクセス管理システム。
【請求項４】
ポリシーサーバを、
ユーザアカウント情報の更新通知を受け付ける受付手段、
受け付けた更新通知により特定される更新対象のアカウントに対応するポリシーを特定し、そのポリシーに対応付けられた規定情報を、ポリシーと当該ポリシーが設定されたアカウントのユーザアカウント情報の更新に伴って当該ポリシーの設定内容を規定する規定条件が設定された規定情報とを対応付けして記憶するポリシー記憶手段から読み出す手段、
読み出した規定情報に従って当該ポリシーの設定内容を制限又は緩和する付属ポリシーを生成する生成手段、
として機能させるポリシー管理プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【公開番号】特開２０１０−１５２４６３（Ｐ２０１０−１５２４６３Ａ）
【公開日】平成２２年７月８日（２０１０．７．８）
【国際特許分類】
【出願番号】特願２００８−３２７２７７（Ｐ２００８−３２７２７７）
【出願日】平成２０年１２月２４日（２００８．１２．２４）
【出願人】（０００００５４９６）富士ゼロックス株式会社 (21,908)
【Ｆターム（参考）】
【公開日】平成２２年７月８日（２０１０．７．８）
【国際特許分類】
【出願日】平成２０年１２月２４日（２００８．１２．２４）
【出願人】（０００００５４９６）富士ゼロックス株式会社 (21,908)
【Ｆターム（参考）】
[ Back to top ]