ポリシ生成装置、ポリシ評価装置、認証サーバ装置及びプログラム
【課題】 アクセス制御ポリシ内のアクセス主体の記述を暗号化せずに保護する。
【解決手段】 ポリシ生成装置２００は、認証サーバ装置１００から受信した身元情報のうち、選択した身元情報を含まない識別情報を当該身元情報から一意に算出し、この識別情報を含み、身元情報を含まない新たなＩＤ情報２０を作成し、選択した身元情報と新たなＩＤ情報２０との連携要求を認証サーバ装置１００に送信し、受信した仮名情報２３と、認証サーバ装置の識別情報２４とを含む連携情報を含むように新たなＩＤ情報２０を更新し、連携情報２２内の仮名情報２３と、認証サーバ装置の識別情報２４とを含み、選択された身元情報を含まないアクセス主体情報２５を作成し、このアクセス主体情報２５を含むアクセス制御ポリシＰを生成する。従って、アクセス制御ポリシＰ内のアクセス主体情報２５が身元情報を含まないので、上記課題を解決できる。
【解決手段】 ポリシ生成装置２００は、認証サーバ装置１００から受信した身元情報のうち、選択した身元情報を含まない識別情報を当該身元情報から一意に算出し、この識別情報を含み、身元情報を含まない新たなＩＤ情報２０を作成し、選択した身元情報と新たなＩＤ情報２０との連携要求を認証サーバ装置１００に送信し、受信した仮名情報２３と、認証サーバ装置の識別情報２４とを含む連携情報を含むように新たなＩＤ情報２０を更新し、連携情報２２内の仮名情報２３と、認証サーバ装置の識別情報２４とを含み、選択された身元情報を含まないアクセス主体情報２５を作成し、このアクセス主体情報２５を含むアクセス制御ポリシＰを生成する。従って、アクセス制御ポリシＰ内のアクセス主体情報２５が身元情報を含まないので、上記課題を解決できる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、例えば、アクセス制御ポリシ内のアクセス主体の記述を暗号化せずにアクセス主体の情報を保護し得るポリシ生成装置、ポリシ評価装置、認証サーバ装置及びプログラムに関する。
【背景技術】
【０００２】
近年、特定の情報や処理へのアクセスに対する制御を、権限情報に基づいて実行するアクセス制御技術の重要性が大きく高まってきている。
【０００３】
アクセス制御技術によれば、アクセス制御ルールまたはアクセス制御ポリシに基づいて、個人情報などの重要な情報を読出できるか否か、承認処理といった重要な処理を実行できるか否かを決定可能となっている。アクセス制御ルールは、アクセス主体（又はサブジェクト）が所有する権限情報と、権限情報とアクション（処理実行）の可否パターン情報とからなる。アクセス制御ポリシは、一般的にアクセス制御ルールの集合として考えられる。アクセス制御ポリシの標準的な記述仕様として産業標準仕様も登場してきており（例えば、非特許文献１参照。）、アクセス制御ポリシが広く利用されるようになってきている。
【０００４】
権限情報は、アクセス主体により要求されたアクションが許可されるか否かを判断するための基準情報であり、アクションが許可される対象を示している。通常、権限情報を明示的に定義する場合は、アクセス主体が所有する権限範囲の共通項が大きいときである。逆に、アクセス主体が所有する権限範囲の共通項が小さい場合、またはそのアクセス主体のみが固有な権限を有する場合には、権限情報を明示化せず、アクセス主体を一意に識別する情報が権限情報を示すことが多い。前者の場合は、権限範囲を示すグループやロール（役割）という抽象化された情報を権限情報に用いるものが知られている（例えば、特許文献１，２参照。）。後者は、ユーザ名やユーザ識別子などを権限情報に用いるものが知られている。
【０００５】
以上のようなアクセス制御ポリシは、文書ファイルなどの対象データへのアクセス主体を特定できる権限情報が記述される。このアクセス制御ポリシは対象データに付帯されて流通する。
【非特許文献１】Tim Moses、"OASIS eXtensible Access Control Markup Language (XACML) Version 2.0 "、OASIS Standard, 1 February 2005, [online]、 [2007年5月17日検索]、インターネット＜URL：http://docs.oasis-open.org/xacml/2.0/access_control-xacml-2.0-core-spec-os.pdf
【特許文献１】特開２００６−１２１１７号公報（第３９段落、図６）
【特許文献２】特開２０００−２０７３６３号公報（要約書）
【特許文献３】特開２００６−３３８５８７号公報（第６０段落、図１）
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら以上のようなアクセス制御技術においては、問題点の一つとして、アクセス主体に関する権限情報がアクセス制御ポリシ中に現れる場合があることが挙げられる。例えば、非特許文献１においては、図１３に示すように、アクセス制御ポリシのサブジェクト(Subject)要素１として、バート・シンプソン氏の電子メール名“bs@simpsons.com”の如き、アクセス主体を直接的に識別する権限情報２が記述されている（非特許文献１、第２５頁目を参照）。
【０００７】
ここで、アクセス主体に関する権限情報は、ユーザＩＤなどのユーザ識別子やユーザ名などのセンシティブ（機微）な情報であることが多い。しかしながら、アクセス制御ポリシが不特定多数の者から読み取り可能であると、アクセス主体に関する情報も不特定多数の者から読み取り可能になる。これはアクセス主体に関するセンシティブな情報が流出する不都合に繋がる。
【０００８】
この不都合を解決する観点から、アクセス制御ポリシを暗号化等の処理により保護する技術が知られている（例えば、特許文献３参照。）。しかしながら、本発明者の考察によると、以下の課題１〜３が残されている。
【０００９】
（第１の課題）
第１の課題は、アクセス制御ポリシを暗号化等の処理により保護すると、複数のシステム間でアクセス制御ポリシを共有する状況下では、システム数が多くなった場合に、鍵管理の煩雑さによる管理負担が増大することである。また、鍵が漏洩した場合には、アクセス制御ポリシに記述されたセンシティブな権限情報が漏えいしてしまう。
【００１０】
（第２の課題）
第２の課題は、ユーザを隠蔽したグループやロールなどの権限情報は、管理コストを低減する観点から、各アクセス主体が持つ権限範囲の共通項が大きいときに適しており、各アクセス主体が持つ権限を同値化できないとき又は同値化できる数が少ないときには適さないと考えられることである。このため、アクセス制御ポリシの適用状況によっては、個別のアクセス主体の単位でアクセスを制御したい場合、アクセス制御ポリシにセンシティブな情報を記載せざるを得ず、情報漏えいのリスクを潜在的に抱え込むことになる。
【００１１】
（第３の課題）
第３の課題は、アクセス制御ポリシ生成者が、アクセス主体に関する情報（ＩＤ情報）を管理する必要があることである。これは単一の管理ドメインの場合には問題ない。一方、複数の管理ドメイン（例えば、異なる企業組織間）の場合には、相手管理ドメインのアクセス主体の情報を管理する必要があるので、アクセス主体の情報に関する保護管理と情報の整合性維持に対するコストが大きくなると考えられる。
【００１２】
本発明は上記実情を考慮してなされたもので、アクセス制御ポリシ内のアクセス主体の記述を暗号化せずにアクセス主体の情報を保護し得るポリシ生成装置、ポリシ評価装置、認証サーバ装置及びプログラムを提供することを目的とする。
【００１３】
また、本発明の他の目的は、個別のアクセス主体の単位でアクセスを制御したい場合でも、情報漏えいのリスクを抱え込まないポリシ生成装置、ポリシ評価装置、認証サーバ装置及びプログラムを提供することにある。
【００１４】
さらに、本発明の他の目的は、ポリシ生成者がアクセス主体に関する情報を管理する必要が無いポリシ生成装置及びプログラムを提供することにある。
【課題を解決するための手段】
【００１５】
第１の発明は、アクセス主体者の身元情報を管理する認証サーバ装置に通信可能であり、いずれかの前記身元情報に対応するアクセス主体情報を含むアクセス制御ポリシを生成するためのポリシ生成装置であって、記憶手段と、前記身元情報の一覧取得要求を前記認証サーバ装置に送信する手段と、前記認証サーバ装置から受信した身元情報を一覧表示する手段と、ポリシ生成者の操作により、前記一覧表示された身元情報のうち、いずれかの身元情報を選択する手段と、前記選択された身元情報を含まない識別情報を算出する手段と、前記算出した識別情報を含み、前記選択された身元情報を含まない新たなＩＤ情報を作成し、当該新たなＩＤ情報を前記記憶手段に書き込む手段と、前記選択された身元情報と前記新たなＩＤ情報との連携要求を前記認証サーバ装置に送信する手段と、前記連携要求の送信に応じて、乱数情報からなる仮名情報を前記認証サーバ装置から受信する手段と、前記仮名情報と、前記認証サーバ装置の識別情報とを含む連携情報を含むように前記記憶手段内の新たなＩＤ情報を更新する手段と、前記連携情報内の仮名情報と、前記認証サーバ装置の識別情報とを含み、前記選択された身元情報を含まないアクセス主体情報を作成する手段と、前記作成したアクセス主体情報を含むアクセス制御ポリシを生成する手段と、を備えたポリシ生成装置である。
【００１６】
第２の発明は、アクセス主体者の身元情報及び認証要素情報と、乱数情報からなる仮名情報と、ポリシ生成装置の識別情報とを管理する認証サーバ装置に通信可能なポリシ評価装置であって、記憶手段と、前記身元情報及び認証要素情報を含まず、且つ前記仮名情報と前記認証サーバ装置の識別情報とを含むアクセス主体情報と、ポリシ生成装置の識別情報とを含むように前記ポリシ生成装置に生成されたアクセス制御ポリシを取得する手段と、前記取得したアクセス制御ポリシのうち、前記仮名情報、前記認証サーバ装置の識別情報、及び前記ポリシ生成装置の識別情報を前記記憶手段に書き込む手段と、前記記憶手段内のポリシ生成装置の識別情報を含む認証要求を認証サーバ装置に送信する手段と、前記認証要求の送信後、前記認証サーバ装置から提示要求を受信すると、前記アクセス主体者の操作により、認証要素情報を前記認証サーバ装置に送信する手段と、前記認証要素情報の送信後、当該認証要素情報と前記ポリシ生成装置の識別情報とに対応する仮名情報を前記認証サーバ装置から受信する手段と、前記受信した仮名情報と、前記記憶手段内の仮名情報とを比較する手段と、前記比較の結果、両者が一致したとき、前記取得したアクセス制御ポリシを正当と評価する手段と、を備えたポリシ評価装置である。
【００１７】
第３の発明は、ポリシ生成装置及びポリシ評価装置に通信可能な認証サーバ装置であって、アクセス主体者の身元情報及び認証要素情報を含むＩＤ情報を記憶する記憶手段と、前記身元情報の一覧取得要求を前記ポリシ生成装置から受信すると、前記記憶手段内の身元情報を前記ポリシ生成装置に送信する手段と、前記送信した身元情報のうち、前記ポリシ生成装置に選択された身元情報と、前記ポリシ生成装置内の当該身元情報を含まない新たなＩＤ情報との連携要求を前記ポリシ生成装置から受信する手段と、前記連携要求に応じて乱数情報からなる仮名情報を生成し、この仮名情報を前記ポリシ生成装置に送信する手段と、前記仮名情報と、前記ポリシ生成装置の識別情報とを含む連携情報を含むように、前記連携要求の身元情報に対応する前記記憶手段内のＩＤ情報を更新する手段と、前記身元情報及び認証要素情報を含まず、且つ前記仮名情報と前記認証サーバ装置の識別情報とを含むアクセス主体情報と、ポリシ生成装置の識別情報とを含むように前記ポリシ生成装置に生成されたアクセス制御ポリシを前記ポリシ評価装置が取得した場合、当該アクセス制御ポリシ内のポリシ生成装置の識別情報を含む認証要求を前記ポリシ評価装置から受信する手段と、前記認証要求に応じて、認証要素情報の提示要求を前記ポリシ評価装置に送信する手段と、前記認証サーバ装置から受信した認証要素情報と、前記記憶手段内の認証要素情報とを比較し、両者が一致したとき、認証処理を成功と判定する認証手段と、前記認証処理を成功と判定した認証要素情報と、前記認証要求内のポリシ生成装置の識別情報とに基づいて、前記記憶手段を検索する手段と、前記検索の結果、該当するＩＤ情報があるとき、このＩＤ情報に含まれる連携情報内の仮名情報を前記ポリシ評価装置に送信する手段と、を備えた認証サーバ装置である。
【００１８】
なお、以上の各発明は、「装置」に限らず、「プログラム」、「プログラムを記憶したコンピュータ読み取り可能な記憶媒体」、「方法」として表現してもよい。
【００１９】
（作用）
第１乃至第３の発明によれば、アクセス制御ポリシ内のアクセス主体情報が身元情報を含まないので、アクセス制御ポリシ内のアクセス主体の記述を暗号化せずにアクセス主体の情報を保護できる。
【００２０】
また、アクセス制御ポリシ内のアクセス主体情報が仮名情報を含むので、個別のアクセス主体の単位でアクセスを制御したい場合でも、情報漏えいのリスクを解消できる。
【００２１】
さらに、ポリシ生成装置が管理するＩＤ情報が身元情報を含まないので、ポリシ生成者がアクセス主体に関する情報を管理する必要が無い。
【発明の効果】
【００２２】
以上説明したように本発明によれば、アクセス制御ポリシ内のアクセス主体の記述を暗号化せずにアクセス主体の情報を保護できる。個別のアクセス主体の単位でアクセスを制御したい場合でも、情報漏えいのリスクを解消できる。さらに、ポリシ生成者がアクセス主体に関する情報を管理する必要が無い。
【発明を実施するための最良の形態】
【００２３】
以下、本発明の一実施形態について図面を用いて説明する。
図１は本発明の一実施形態に係る認証サーバ装置、ポリシ生成装置及びポリシ評価装置を適用したアクセス制御システムの構成を示す模式図である。このアクセス制御システムは、認証サーバ装置１００、ポリシ生成装置２００及びポリシ評価装置３００がネットワークＮｗを介して接続された構成である。これら各装置２００，２００，３００は、装置毎に、ハードウェア構成、又はハードウェア資源とソフトウェアとの組合せ構成のいずれでも実施可能となっている。組合せ構成のソフトウェアとしては、予めネットワーク又は記憶媒体から対応する装置のコンピュータにインストールされ、対応する装置の機能を実現させるためのプログラムが用いられる。
【００２４】
ここで、認証サーバ装置１００は、具体的には図２に示すように、ＩＤ情報保存部１０１、ＩＤ情報連携管理部１０２、利用者認証部１０３、身元情報一覧提供部１０４、通信部１０５及び制御部１０６を備えている。
【００２５】
ＩＤ情報保存部１０１は、各部１０２〜１０６から読出／書込可能な記憶装置であり、図３に示すように、アクセス主体（利用者）の身元情報と、認証要素情報と、連携情報とを含むＩＤ（アイデンティティ：Identity）情報１０を保存するものである。
【００２６】
ＩＤ情報１０は、ユーザ識別子１１ａ、氏名１１ｂ、役職情報１１ｃ、権限情報１１ｄ、パスワード１１ｅ、連携情報１２、仮名情報１３、ポリシ生成装置の識別情報１４を含んでいる。ここで、身元情報とは、氏名や従業員番号などのように、アクセス主体を特定可能な属性情報を意味しており、ここでは氏名１１ｂ、役職情報１１ｃ、権限情報１１ｄとしている。役職情報１１ｃとは、例えば会社組織上の役職を示す情報である。権限情報１１ｄとは、例えば特定グループに所属する旨や、特定のロール（役割）である旨を表す情報である。ロールとしては、ポリシ生成者によるポリシ設定を容易化する観点から、例えば資産管理者や文書ファイル管理者というように、アクセス可否に関係する役割であることが好ましい。認証要素情報とは、ポリシ評価装置３００との間の認証処理に用いる情報であり、ここではユーザ識別子１１ａ及びパスワード１１ｅとしている。なお、身元情報及び認証要素情報は、アクセス制御ポリシの生成動作の開始よりも前に、予めＩＤ情報保存部１０１に保存されている。連携情報１２は、アクセス制御ポリシの生成動作中にＩＤ情報保存部１０１に保存される。
【００２７】
連携情報１２とは、ポリシ生成装置２００内のＩＤ情報と連携が維持されている旨を示す情報であり、維持されていない場合にはＩＤ情報１０から削除されている。なお、認証サーバ装置１００内のＩＤ情報保存部１０１に保存されるＩＤ情報は、身元情報を含むため、身元ＩＤ情報又は実名ＩＤ情報と呼んでもよい。
【００２８】
ＩＤ情報連携管理部１０２は、身元情報一覧提供部１０４により通信部１０５から送信した身元情報のうち、ポリシ生成装置２００に選択された身元情報と、ポリシ生成装置２００内の当該身元情報を含まない新たなＩＤ情報との連携要求をポリシ生成装置２００から通信部１０５を介して受信する機能と、連携要求に応じて乱数情報からなる仮名情報１３を生成し、この仮名情報１３を通信部１０５からポリシ生成装置２００に送信する機能と、この仮名情報１３と、ポリシ生成装置の識別情報１４とを含む連携情報１２を含むように、連携要求の身元情報に対応するＩＤ保存部１０１内のＩＤ情報１０を更新する機能とをもっている。
【００２９】
また、ＩＤ情報連携管理部１０２では、ＩＤ情報保存部１０１に対してＩＤ情報１０の操作をも行う。ＩＤ情報１０の操作とは、一般的にはアカウント（Account）と呼ばれるＩＤ情報１０の最上位単位及び、ＩＤ情報１０が保有する属性情報を作成、読出、変更、削除、無効化、有効化などを実行することを指す。
【００３０】
利用者認証部１０３は、身元情報及び認証要素情報を含まず、且つ仮名情報と認証サーバ装置の識別情報とを含むアクセス主体情報と、ポリシ生成装置の識別情報とを含むようにポリシ生成装置２００に生成されたアクセス制御ポリシをポリシ評価装置３００が取得した場合、当該アクセス制御ポリシ内のポリシ生成装置の識別情報を含む認証要求をポリシ評価装置３００から通信部１０５により受信する機能と、認証要求に応じて、認証要素情報の提示要求を通信部１０５からポリシ評価装置３００に送信する機能と、ポリシ評価装置３００から受信した認証要素情報と、ＩＤ情報保存部１０１内の認証要素情報とを比較し、両者が一致したとき、認証処理を成功と判定する認証機能と、認証処理を成功と判定した認証要素情報と、認証要求内のポリシ生成装置の識別情報とに基づいて、ＩＤ情報保存部１０１を検索する機能と、検索の結果、該当するＩＤ情報１０があるとき、このＩＤ情報１０に含まれる連携情報１２内の仮名情報１３を通信部１０５からポリシ評価装置３００に送信する機能とをもっている。
【００３１】
ここで、認証処理としては、任意の利用者認証方式を用いてよい。認証が成功したとき、送信する仮名情報は、認証情報に含まれる形式で送信されることが好ましい。この認証情報は、任意の形式で構わないが、好適にはOASIS SAML（Security Assertion Markup Language） V2.0仕様の認証アサーション形式等の標準化された規格または仕様で構築されることが望ましい。
【００３２】
身元情報一覧提供部１０４は、身元情報の一覧取得要求をポリシ生成装置２００から通信部１０５により受信すると、ＩＤ情報保存部１０１内の身元情報を通信部１０５からポリシ生成装置２００に送信する機能をもっている。
【００３３】
身元情報の一覧とは、ＩＤ情報保存部１０１内のＩＤ情報のうち、身元情報を一覧表示するための情報であり、図４に示すように、氏名や、役職情報、権限情報などの身元に関する属性情報を、各ＩＤ情報の単位で構成した情報である。身元情報一覧は、アクセス主体の候補を示す情報でもある。身元情報一覧に含める属性情報の種別は、ポリシ生成装置２００と認証サーバ装置１００の間で事前に決定されてもよく、ポリシ生成装置２００からの要求により決定されてもよい。
【００３４】
通信部１０５は、ポリシ生成装置２００やポリシ評価装置３００などの外部エンティティ装置との間での通信を行うものである。外部エンティティ装置との間での通信において、エンティティ認証を実行する場合は、この通信部１０５で行うことが望ましい。
【００３５】
制御部１０６は、認証サーバ装置１００内でのイベントやデータを制御するための機能部である。この制御部１０６を介して、各部１０１〜１０５に対して命令を実行したり、処理に必要なデータを受け渡したりする。なお、以下の説明では、説明を簡潔にする観点から、制御部１０６を介在する旨の記載を省略する。
【００３６】
ポリシ生成装置２００は、具体的には図５に示すように、ＩＤ情報保存部２０１、ＩＤ情報連携管理部２０２、身元情報取得部２０３、身元情報一覧部２０４、ポリシ生成部２０５、ポリシ出力部２０６、ユーザインタフェース部２０７、通信部２０８及び制御部２０９を備えている。
【００３７】
ＩＤ情報保存部２０１は、各部２０２〜２０９から読出／書込可能な記憶装置であり、図６に示すように、アクセス主体の身元情報を含まないＩＤ情報２０を保存するものである。ここで、ＩＤ情報２０は、ユーザ識別子’２１、連携情報２２、仮名情報２３、認証サーバ装置の識別情報２４を含んでいる。
【００３８】
ユーザ識別子’２１は、ポリシ生成装置２００により算出された識別情報である。
【００３９】
連携情報２２は、仮名情報２３、認証サーバ装置の識別情報２４を含んでいる。ここでの連携（ＩＤ連携）とは、２つ以上の異なるＩＤ情報を、前記連携情報により関連付けることを指す。例えば、あるＩＤ情報Ａと、あるＩＤ情報Ｂが連携されたとすると、ＩＤ情報ＡとＩＤ情報Ｂとが有する連携情報に基づいて、互いに関連付けられたＩＤ情報を特定することができる。ただし、単独のＩＤ情報が有する連携情報、例えばＩＤ情報Ａが有する連携情報のみでは、関連付けられた他のＩＤ情報（ＩＤ情報Ｂ）を特定することができないようにする。このため、後述する仮名情報２３のような、それぞれのＩＤ情報から類推できない情報を用いて、ＩＤ情報を関連付けることを想定している。
【００４０】
仮名情報２３は、認証サーバ装置１００とポリシ生成装置２００で合意された一時的な識別情報である。本実施形態における例では、認証サーバ装置１００とポリシ生成装置２００とで一つの仮名（かめい）情報を利用し、認証サーバ装置１００が仮名情報を決定している。ＩＤ連携の技術手段については、本実施形態で示す例以外の任意の技術手段をとってもよい。また、「仮名情報」は、「変名情報」又は「架空名義情報」など、「本名を伏せて仮につける名前を表す情報」であれば、任意の名称の情報に読み替えてもよい。
【００４１】
認証サーバ装置の識別情報２４は、認証サーバ装置１００を一意に特定可能な識別情報である。そのような情報を表現する形式としては、ＵＲＩ（Uniform Resource Identifier）またはＵＲＬ（Uniform Resource Locator）などが知られている。
【００４２】
なお、ポリシ生成装置２００内のＩＤ情報保存部２０１に保存されるＩＤ情報２０は、仮名情報を含むため、仮名ＩＤ情報と呼んでもよい。
【００４３】
ＩＤ情報連携管理部２０２は、ポリシ設定者により選択された身元情報と新たなＩＤ情報２０との連携要求を通信部２０８から認証サーバ装置１００に送信する機能と、連携要求の送信に応じて、乱数情報からなる仮名情報を認証サーバ装置から受信する機能と、この仮名情報２３と、認証サーバ装置の識別情報２４とを含む連携情報を含むようにＩＤ情報保存部２０１内の新たなＩＤ情報２０を更新する機能とをもっている。本実施形態では、ＩＤ情報の連携例として、図３及び図６に示すような連携情報１２，２２を利用することを想定する。なお、図３及び図６中、仮名情報１３，２３は互いに同一の情報である。
【００４４】
身元情報取得部２０３は、身元情報の一覧取得要求を通信部２０８から認証サーバ装置１００に送信する機能をもっている。
【００４５】
身元情報一覧部２０４は、認証サーバ装置１００から通信部２０８により受信した身元情報をユーザインタフェース部２０７により一覧表示する機能とをもっている。なお、身元情報一覧は、一時的に取得される情報であり、ＩＤ情報保存部２０１に保存しないことが望ましい。
【００４６】
ポリシ生成部２０５は、ポリシ設定者（ポリシ生成者）の操作により、一覧表示された身元情報のうち、いずれかの身元情報を選択する機能と、選択された身元情報がＩＤ情報保存部２０１に存在するかを検索する機能と、選択された身元情報を含まない識別情報（ユーザ識別子’２１）を算出する機能と、算出した識別情報を含み、選択された身元情報を含まない新たなＩＤ情報２０を作成し、当該新たなＩＤ情報２０をＩＤ情報保存部２０１に書き込む機能と、ＩＤ保存部２０１の連携情報２２内の仮名情報２３と、認証サーバ装置の識別情報２４とを含み、選択された身元情報を含まないアクセス主体情報２５を作成する機能と、作成したアクセス主体情報２５を含むアクセス制御ポリシＰを生成する機能とをもっている。なお、選択された身元情報を含まない識別情報（ユーザ識別子’２１）は、当該身元情報から一意に算出することが望ましい。
【００４７】
アクセス制御ポリシＰは、図７に示すように、アクセス主体情報２５、仮名情報２３’、認証サーバ装置の識別情報２４’、アクション情報２６、リソース情報２７、ポリシ生成装置の識別情報２８を備えている。なお、アクション情報２６とは、例えば、読出処理又は書込処理の実行といった処理の実行内容を示している。リソース情報２７とは、アクセス対象となる資源を示す情報であり、例えば特定のファイルを示すＵＲＬ情報などである。上記以外の情報として、アクセス可否を判定するための時間や場所などの環境条件を示す環境情報や、アクセス可否を判定するための任意の条件を示すコンディション情報や、実行しなければならない行為内容を示す責務情報などを、アクセス制御ポリシＰに記述してもよい。
【００４８】
アクセス主体情報２５は、ＸＭＬ（Extensible Markup Language）表記によりサブジェクト要素として記述された例を図８に示す。サブジェクト要素は、仮名情報２３の値を含むＸＭＬ表記の仮名情報２３’と、認証サーバ装置の識別情報２４の値を含むＸＭＬ表記の認証サーバ装置の識別情報２４’とを備えている。
【００４９】
ポリシ出力部２０６は、ポリシを外部に出力するための機能部である。ポリシを出力する形態については、ポリシ評価装置３００が取得可能な形態であればよい。好適には、ディレクトリサーバなどのリポジトリに格納して外部公開したり、ポリシを適用すべき対象データに付加したりすることなどが挙げられる。または、後述するポリシ生成装置２００の通信部２０８を介して、メッセージ等でポリシを出力してもよい。
【００５０】
ユーザインタフェース部２０７は、ポリシ生成装置２００の利用者、すなわちポリシ設定者に対して、入力及び表示を実行するための機能部である。この機能部は、ポリシ生成装置２００内の機能部だけでなく、一般的なＷｅｂシステムのＷｅｂブラウザや、クライアント／サーバシステムなどとして実現されてもよい。
【００５１】
通信部２０８は、認証サーバ装置１００やポリシ評価装置３００などの外部エンティティ装置との通信を行うものである。外部エンティティ装置との間での通信において、エンティティ認証を実行する場合は、この通信部２０８で行うことが望ましい。
【００５２】
制御部２０９は、ポリシ生成装置２００内でのイベントやデータを制御するための機能部である。制御部２０９は、各部２０１〜２０８に対して命令を実行したり、処理に必要なデータを受け渡したりする。なお、以下の説明では、説明を簡潔にする観点から、制御部２０９を介在する旨の記載を省略する。
【００５３】
ポリシ評価装置３００は、ポリシ生成装置２００により生成されたポリシを評価かつ実行する装置である。ポリシの評価対象者であるサブジェクトは、ポリシ評価装置３００の利用者（以下、特別な記述がなければ、利用者という記述はこの利用者を指すものとする）となる。これに伴い、ポリシ評価装置３００は、利用者装置又は利用者端末と呼んでもよい。
【００５４】
ポリシ評価装置３００は、具体的には図９に示すように、ポリシ保存部３０１、ポリシ取得部３０２、ポリシ解析部３０３、利用者認証クライアント部３０４、ポリシ評価部３０５、ポリシ実行部３０６、制御インタフェース部３０７、ユーザインタフェース部３０８、通信部３０９及び制御部３１０を備えている。
【００５５】
ポリシ保存部３０１は、各部３０２〜３１０から読出／書込可能な記憶装置であり、アクセス制御ポリシ内の各情報２３〜２８を保存する。
【００５６】
ポリシ取得部３０２は、身元情報及び認証要素情報を含まず、且つ仮名情報２３と認証サーバ装置の識別情報２４とを含むアクセス主体情報２５と、ポリシ生成装置の識別情報２８とを含むようにポリシ生成装置２００に生成されたアクセス制御ポリシＰを外部エンティティ装置から取得するための機能部である。なお、ここでは、アクセス制御ポリシＰは他にもアクション情報２６、リソース情報２７を含んでいる。ポリシを取得する具体的な方式は、ポリシ生成装置２００におけるポリシ出力部２０６の出力方式による。本実施形態では一例として、ポリシを適用すべき対象データより、ポリシを取得する例を説明する。
【００５７】
ポリシ解析部３０３は、ポリシ取得部３０２が取得したアクセス制御ポリシＰを解析し、アクセス制御ポリシＰのうち、仮名情報２３、認証サーバ装置の識別情報２４、アクション情報２６、リソース情報２７、ポリシ生成装置の識別情報２８をポリシ保存部３０１に書き込む機能をもっている。
【００５８】
ポリシ解析部３０３は、例えば、ポリシがＯＡＳＩＳ ＸＡＣＭＬ Ｖ２．０などのＸＭＬ表記で記述されている場合には、ポリシに記述される要素及び属性、その値らをオブジェクト構造として取得するような処理を行う。解析されたポリシに記述された情報は、ポリシ保存部３０１に書き込まれた後、利用者認証クライアント部３０４及びポリシ評価部３０５に渡される。
【００５９】
利用者認証クライアント部３０４は、ポリシ保存部３０１内のポリシ生成装置の識別情報２８を含む認証要求を通信部３０９から認証サーバ装置１００に送信する機能と、認証要求の送信後、認証サーバ装置１００から提示要求を通信部３０９により受信すると、アクセス主体者の操作により、認証要素情報（例、ユーザ識別子及びパスワード）を通信部３０９から認証サーバ装置１００に送信する機能と、認証要素情報の送信後、当該認証要素情報（１１ａ，１１ｅ）とポリシ生成装置の識別情報１４とに対応する仮名情報１３を認証サーバ装置１００から通信部３０９により受信する機能と、受信した仮名情報１３をポリシ評価部３０５に送出する機能とをもっている。
【００６０】
ポリシ評価部３０５は、通信部３０９により受信した仮名情報１３と、ポリシ保存部３０１内の仮名情報２３とを比較する機能と、比較の結果、両者が一致したとき、取得したアクセス制御ポリシＰを正当と評価する機能とをもっている。なお、アクセス制御ポリシに記述されるアクセス主体情報２５の評価以外のアクション情報２６及びリソース情報２７の評価手段については任意の手段を用いればよい。
【００６１】
ポリシ実行部３０６は、制御対象に対するアクセス要求が生じたときに、ポリシ評価部３０５にポリシ評価を依頼するための機能部である。また、ポリシ評価部３０５より得られたポリシの効果に従って、制御インタフェース部３０７を介して制御対象に対するアクションを制御する。制御対象に対するアクションは、任意の手段を介して取得されてよい。例えば、アプリケーションのイベントを取得するリスナー機能などを利用して、ポリシ実行部３０６が制御対象に対するアクションを取得する手段などが挙げられる。
【００６２】
制御インタフェース部３０７は、ポリシ評価部３０５が出力したポリシの結果に基づいて、制御対象を制御するための機能部であり、ポリシ実行部３０６により操作される。
【００６３】
ユーザインタフェース部３０８は、ポリシ評価装置３００の利用者、すなわちポリシの対象となるリソースにアクセスを要求する利用者に対して、入力及び表示を実行するための機能部である。この機能部は、ポリシ評価装置３００の利用者とのインタラクションが要求される場合にのみ配備すればよい。例えば、ポリシ評価の結果を利用者に還元する場合や、ポリシ実行部３０６に対して利用者が明示的に評価を要求する場合などである。
【００６４】
通信部３０９は、認証サーバ装置１００などの外部エンティティ装置との間での通信を行うものである。外部エンティティ装置との間での通信において、エンティティ認証を実行する場合は、この通信部３０９で行うことが望ましい。
【００６５】
制御部３１０は、ポリシ評価装置３００内でのイベントやデータを制御するための機能部である。この制御部３１０は、各部３０１〜３０９に対して命令を実行したり、処理に必要なデータを受け渡したりする。なお、以下の説明では、説明を簡潔にする観点から、制御部３１０を介在する旨の記載を省略する。
【００６６】
次に、以上のようなアクセス制御システムの動作を図１０乃至図１２の図面を用いて説明する。
【００６７】
（ポリシ生成動作；図１０）
［ステップＳＴ１］ ポリシ生成装置２００では、ポリシ設定者の操作により、ユーザインタフェース部２０７が身元情報一覧取得要求を身元情報取得部２０３に入力する。
【００６８】
［ステップＳＴ２］ ポリシ生成装置２００では、身元情報取得部２０３が、この身元情報一覧取得要求を通信部２０８から認証サーバ装置１００に送信する。
【００６９】
［ステップＳＴ３］ 認証サーバ装置１００では、身元情報一覧取得要求を通信部１０５により受信すると、身元情報一覧提供部１０２がＩＤ情報保存部１０１内のＩＤ情報のうち、身元情報を一覧表示するための身元情報一覧を作成する。しかる後、身元情報一覧提供部１０２は、この身元情報一覧を通信部１０５からポリシ生成装置２００に送信する。
【００７０】
［ステップＳＴ４］ ポリシ生成装置２００では、身元情報一覧を通信部２０８により受信すると、身元情報取得部２０３が身元情報一覧を身元情報一覧部２０４に送出する。
【００７１】
身元情報一覧部２０４は、この身元情報一覧をユーザインタフェース部２０７に送出する。ユーザインタフェース部２０７は、この身元情報一覧を表示する。
【００７２】
［ステップＳＴ５］ ポリシ生成装置２００では、身元情報一覧の表示中、ポリシ設定者の操作により、ユーザインタフェース部２０７が身元情報一覧からいずれかの身元情報を選択し、選択した身元情報をポリシ生成部２０５に送出する。
【００７３】
また、ポリシ生成装置２００では、ポリシ設定者の操作により、ユーザインタフェース部２０７が、アクション情報及びリソース情報などをポリシ生成部２０５に入力する。
【００７４】
［ステップＳＴ６］ ポリシ生成部２０５は、選択された身元情報と連携されるＩＤ情報が存在するかについて、ＩＤ情報保存部２０１を検索する。ここでは、選択された身元情報から一意に識別情報を算出し、当該算出した識別情報に基づいて検索する。例えば、選択された身元情報のハッシュ値を算出し、算出したハッシュ値を識別情報（ユーザ識別子’２１）として用いている。なお、算出される識別情報は、ハッシュ値に限らず、選択された身元情報から一意に得られ、且つ選択された身元情報を含まない情報であれば、任意の識別情報が適用可能となっている。なお、選択された身元情報から一意に識別情報を利用せずに、仮名情報を利用してＩＤ情報保存部２０１を検索してもよい。仮名情報は、身元情報一覧で送信される身元情報の属性として含められてもよく、選択された身元情報を認証サーバ装置１００に送信し、仮名情報を取得してもよい。その場合、［ステップＳＴ７］において、シーケンシャルな番号など、ポリシ生成装置２００内で一意な識別情報を生成する。何れにしろ、選択された身元情報と連携されるＩＤ情報２０が、ＩＤ情報保存部２０１に存在するかを確認できればよい。なお、検索の結果、選択された身元情報と連携されるＩＤ情報２０がＩＤ情報保存部２０１に存在しない場合には、ステップＳＴ７へ遷移する。検索の結果、識別情報が既にＩＤ情報保存部２０１に存在するのであればステップＳＴ１０へ遷移する。
【００７５】
［ステップＳＴ７］ ポリシ生成部２０５は、算出した識別情報を含み、選択された身元情報を含まない新たなＩＤ情報２０を作成する。この新たなＩＤ情報２０と、選択された身元情報とは、ポリシ生成部２０５からＩＤ情報連携管理部２０２に送出される。
【００７６】
［ステップＳＴ８］ ＩＤ情報連携管理部２０２は、ステップＳＴ５で選択された身元情報と、ステップ７の新たなＩＤ情報２０との連携要求を通信部２０８から認証サーバ装置１００に送信する。
【００７７】
認証サーバ装置１００では、連携要求を通信部１０５により受信すると、ＩＤ情報連携管理部１０２が、乱数情報からなる仮名情報１３を生成する。この仮名情報１３は、通信部１０５からポリシ生成装置２００に送信される。なお、本実施形態で説明される連携方法については一例であり、その他任意の手段を用いてもよく、仮名情報１３により互いのＩＤ情報１０，２０が連携されればよい。
【００７８】
［ステップＳＴ９］ 認証サーバ装置１００では、ＩＤ情報連携管理部１０２が、仮名情報１３と、ポリシ生成装置の識別情報１４とを含む連携情報１２を含むようにＩＤ情報保存部１０１内の該当ＩＤ情報１０を更新する。
【００７９】
ポリシ生成装置２００では、仮名情報１３を通信部２０８により受信すると、ＩＤ情報連携管理部２０２が、仮名情報１３に同一の仮名情報２３と、認証サーバ装置の識別情報２４とを含む連携情報２２を含むようにＩＤ情報保存部２０１内の新たなＩＤ情報２０を更新する。これにより、互いの装置１００，２００に保存されたＩＤ情報１０，２０が関連付けられる。
【００８０】
［ステップＳＴ１０］ ポリシ生成装置２００では、ポリシ生成部２０５が、連携情報２２内の仮名情報２３及び認証サーバ装置の識別情報２４を含み、選択した身元情報を含まないアクセス主体情報２５を作成する。また、ポリシ生成部２０５は、このアクセス主体情報２５と、ステップＳＴ５で入力されたアクション情報２６及びリソース情報２７と、ポリシ生成装置の識別情報２８とに基づいて、アクセス制御ポリシＰを生成する。
【００８１】
［ステップＳＴ１１］ ポリシ生成装置２００では、生成されたアクセス制御ポリシＰをユーザインタフェース部２０７が出力する。
【００８２】
［ステップＳＴ１２］ これにより、ポリシ生成装置２００では、処理が完了した旨をポリシ設定者に通知する。これにより、ポリシ生成動作が完了する。
【００８３】
（ポリシ実行動作；図１１及び図１２）
以下の説明では、ステップＳＴ９で格納した連携情報が維持されており、また任意の手段によってポリシ評価の動作が開始することを前提としている。例えば、ポリシ評価装置３００では、利用者がポリシ評価を伴うアクセス要求を入力するようにユーザインタフェース部３０８を操作することにより、次のステップＳＴ２１の動作が開始される。
【００８４】
［ステップＳＴ２１］ ポリシ評価装置３００では、ポリシ取得部３０２がアクセス制御ポリシＰを取得する。例えば、ポリシ取得部３０２は、アクセス制御ポリシＰが付帯する文書ファイルを文書管理サーバ（図示せず）からダウンロードすることにより、アクセス制御ポリシＰを取得する。すなわち、アクセス制御ポリシＰは、必ずしもポリシ生成装置２００から直接にポリシ評価装置３００に送信される必要はなく、最終的にポリシ評価装置３００に取得されればよい。
【００８５】
取得されたアクセス制御ポリシは、ポリシ取得部３０２からポリシ解析部３０３に送出される。ポリシ解析部３０３は、アクセス制御ポリシＰを解析し、アクセス制御ポリシＰ内の仮名情報２３、認証サーバ装置の識別情報２４、アクション情報２６、リソース情報２７及びポリシ生成装置の識別情報２８をポリシ保存部３０１に書き込む。ポリシ保存部３０１内の仮名情報２３、認証サーバ装置の識別情報２４、アクション情報２６及びリソース情報２７は、ポリシ解析部３０３からポリシ評価部３０５に送出される。また、ポリシ解析部３０３は、ポリシ保存部３０１内の認証サーバ装置の識別情報２４と、ポリシ生成装置の識別情報２８とは、ポリシ解析部３０３から利用者認証クライアント部３０４に送出される。
【００８６】
［ステップＳＴ２２］ ポリシ評価装置３００では、利用者認証クライアント部３０４が、この認証サーバ装置の識別情報２４に基づいて、ポリシ生成装置の識別情報２８を含む利用者認証要求を認証サーバ装置１００に送信する。
【００８７】
［ステップＳＴ２３〜ＳＴ２５］ 認証サーバ装置１００では、利用者認証要求を通信部１０５により受信すると、利用者認証部１０３が、図１１に示すように、所定の利用者認証方式を実行する（ＳＴ２３−１）。例えば、一般的なユーザ識別子とパスワードを用いた認証方式であれば、利用者認証部１０３は、通信部１０５を介してポリシ評価装置３００の利用者にユーザ識別子とパスワードの提示を要求し、提示されたユーザ識別子及びパスワードをＩＤ情報保存部１０１内のユーザ識別子１１ａ及びパスワード１１ｅと比較し、認証が成功か否かを判断する（ＳＴ２３−２）。認証が失敗した場合には、利用者認証部１０３は、認証が失敗した旨を通信部１０５からポリシ評価装置３００に通知し、利用者認証をリトライするか（ＳＴ２３−３）、又は全体の動作を終了する。
【００８８】
一方、認証が成功した場合、利用者認証部１０３は、ＩＤ情報の連携情報１２を確認する（ＳＴ２４−１）。具体的には、利用者認証部１０３は、提示されたユーザ識別子１１ａと利用者認証要求内のポリシ生成装置の識別情報２８とに基づいて、利用者のＩＤ情報１０を検索することにより、連携情報１２が維持されているかを判定する（ＳＴ２４−２）。
【００８９】
この判定の結果、ＩＤ情報の連携が維持されていない場合には、連携が維持されていない旨を通信部１０５からポリシ評価装置３００に通知し（ＳＴ２４−３）、全体の動作を終了する。連携が維持されていない場合としては、例えば、あらかじめポリシ生成装置２００又は認証サーバ装置１００が連携情報を削除するように他方の装置１００，２００に要求し、両者の連携情報１２，２２が削除された場合などがある。
【００９０】
一方、ステップＳＴ２４−２の判定の結果、ＩＤ情報の連携が維持されている場合には、認証サーバ装置１００では、利用者認証部１０３がＩＤ情報保存部１０１内の仮名情報１３を含む認証情報を生成し（ＳＴ２５−１）、この認証情報を通信部１０５からポリシ評価装置３００に送信する（ＳＴ２５−２）。
【００９１】
［ステップＳＴ２６］ ポリシ評価装置３００では、認証情報を通信部３０９が受信すると、ポリシ評価部３０５が、この認証情報内の仮名情報１３と、ポリシ解析部３０３から受けた仮名情報２３とを比較し、両者が一致したとき、アクセス制御ポリシＰを正当と評価する。
【００９２】
アクセス制御ポリシＰが正当でない場合、ポリシ評価部３０５は、アクセス制御ポリシＰが正当でない旨をユーザインタフェース部３０８に送出し、処理を終了する。
【００９３】
一方、アクセス制御ポリシＰが正当の場合、ポリシ評価部３０５は、制御対象に対するアクセス要求と、ポリシ解析部３０３から受けたアクション情報２６及びリソース情報２７とに基づいて、アクセスの可否を判定し、判定結果をポリシ実行部３０６に送出する。
【００９４】
［ステップＳＴ２７］ ポリシ実行部３０６は、アクセス可否の判定結果に応じて、制御対象を制御する。例えば、判定結果が、特定リソースへのアクセス要求に対して許可（PERMIT）を示すものであれば、制御対象となる特定リソースへのアクセスを行うアプリケーションに対して、アクセスを許可させる。逆に、判定結果が、特定リソースへのアクセス要求に対して拒否（DENY）を示すものであれば、制御対象となる特定リソースへのアクセスを行うアプリケーションに対して、アクセスを拒否させる。これらの制御内容は、ポリシの記述内容に依存して決定される。
【００９５】
上述したように本実施形態によれば、アクセス制御ポリシＰ内のアクセス主体情報２５が身元情報を含まないので、アクセス制御ポリシ内のアクセス主体の記述を暗号化せずにアクセス主体の情報を保護できる。
【００９６】
また、アクセス制御ポリシＰ内のアクセス主体情報２５が仮名情報２３を含むので、個別のアクセス主体の単位でアクセスを制御したい場合でも、情報漏えいのリスクを解消できる。
【００９７】
さらに、ポリシ生成装置２００が管理するＩＤ情報２０が身元情報を含まないので、ポリシ生成者がアクセス主体に関する情報を管理する必要が無い。
【００９８】
補足すると、本実施形態では、アクセス主体の単位でアクセス制御を行う必要がある場合に、アクセス制御ポリシの中に直接的にアクセス主体を特定可能な識別情報を記述するかわりに、単体ではアクセス主体を特定不可能な一時的な識別情報を用いることにより、アクセス制御ポリシ上でアクセス主体に関する情報を保護することができる。これにより、アクセス制御ポリシを公開的な共有情報として取り扱うことができ、アクセス制御ポリシを暗号化などで隠蔽するような場合と比較して、暗号化鍵の漏えいなどのセキュリティリスクを排除しつつ、アクセス制御ポリシの広範囲な適用を期待することができる。
【００９９】
また、本実施形態は、ポリシ生成装置２００と認証サーバ装置１００とのＩＤ情報が連携している場合を説明したが、これに限らず、何れかの装置２００，１００が連携情報を削除するように他の装置１００，２００に要求すると連携情報が削除され、連携が解除される。
【０１００】
この連携解除により、認証サーバ装置１００では、ステップＳＴ２４−２がＮＯとなるので、ポリシ評価装置３００において、アクセス制御ポリシＰが正当と評価されない。すなわち、ポリシ生成者（ポリシ生成装置利用者）及びユーザ管理者（認証サーバ装置管理者）の双方から、アクセス制御ポリシ内に記述されるアクセス主体を無効化することができる。
【０１０１】
また、連携を解除する方法は、連携情報の削除を要求する方式に限らず、例えば、予め連携情報有効期限を連携情報１２，２２に含めておき、認証サーバ装置１００が認証時に連携情報有効期限を過ぎてない旨を確認する方式としてもよい。
【０１０２】
なお、本実施形態で説明した認証サーバ装置１００とポリシ生成装置２００とは、同一の装置上で実現されてもよい。
【０１０３】
また、上記実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
【０１０４】
また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
【０１０５】
また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。
【０１０６】
さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。
【０１０７】
また、記憶媒体は１つに限らず、複数の媒体から上記実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
【０１０８】
尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
【０１０９】
また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【０１１０】
なお、本願発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に亘る構成要素を適宜組合せてもよい。
【図面の簡単な説明】
【０１１１】
【図１】本発明の一実施形態に係るアクセス制御システムの構成を示す模式図である。
【図２】同実施形態における認証サーバ装置の構成を示す模式図である。
【図３】同実施形態における認証サーバ装置内のＩＤ情報保存部の構成を示す模式図である。
【図４】同実施形態におけるＩＤ情報一覧を説明するための模式図である。
【図５】同実施形態におけるポリシ生成装置の構成を示す模式図である。
【図６】同実施形態におけるポリシ生成装置内のＩＤ情報保存部の構成を示す模式図である。
【図７】同実施形態におけるポリシ情報を説明するための模式図である。
【図８】同実施形態におけるポリシ情報のサブジェクト要素の記述例を示す模式図である。
【図９】同実施形態におけるポリシ評価装置の構成を示す模式図である。
【図１０】同実施形態におけるポリシ生成動作を説明するためのシーケンス図である。
【図１１】同実施形態におけるポリシ実行動作を説明するためのシーケンス図である。
【図１２】同実施形態における認証サーバ装置の動作を説明するためのフローチャートである。
【図１３】従来のアクセス制御ポリシを説明するための模式図である。
【符号の説明】
【０１１２】
１０，２０…ＩＤ情報、１１ａ…ユーザ識別子、１１ｂ…氏名、１１ｃ…役職情報、１１ｄ…権限情報、１１ｅ…パスワード、１２，２２…連携情報、１３，２３，２３’…仮名情報、１４，２８…ポリシ生成装置の識別情報、２１…ユーザ識別子’、２４，２４’…認証サーバ装置の識別情報、Ｐ…アクセス制御ポリシ、２５…アクセス主体情報、２６…アクション情報、２７…リソース情報、１００…認証サーバ装置、１０１，２０１…ＩＤ情報保存部、１０２，２０２…ＩＤ情報連携管理部、１０３…利用者認証部、１０４…身元情報一覧提供部、１０５，２０８，３０９…通信部、１０６，２０９，３１０…制御部、２００…ポリシ生成装置、２０３…身元情報取得部、２０４…身元情報一覧部、２０５…ポリシ生成部、２０６…ポリシ出力部、２０７，３０８…ユーザインタフェース部、３００…ポリシ評価装置、３０１…ポリシ保存部、３０２…ポリシ取得部、３０３…ポリシ解析部、３０４…利用者認証クライアント部、３０５…ポリシ評価部、３０６…ポリシ実行部、３０７…制御インタフェース部、Ｎｗ…ネットワーク。
【技術分野】
【０００１】
本発明は、例えば、アクセス制御ポリシ内のアクセス主体の記述を暗号化せずにアクセス主体の情報を保護し得るポリシ生成装置、ポリシ評価装置、認証サーバ装置及びプログラムに関する。
【背景技術】
【０００２】
近年、特定の情報や処理へのアクセスに対する制御を、権限情報に基づいて実行するアクセス制御技術の重要性が大きく高まってきている。
【０００３】
アクセス制御技術によれば、アクセス制御ルールまたはアクセス制御ポリシに基づいて、個人情報などの重要な情報を読出できるか否か、承認処理といった重要な処理を実行できるか否かを決定可能となっている。アクセス制御ルールは、アクセス主体（又はサブジェクト）が所有する権限情報と、権限情報とアクション（処理実行）の可否パターン情報とからなる。アクセス制御ポリシは、一般的にアクセス制御ルールの集合として考えられる。アクセス制御ポリシの標準的な記述仕様として産業標準仕様も登場してきており（例えば、非特許文献１参照。）、アクセス制御ポリシが広く利用されるようになってきている。
【０００４】
権限情報は、アクセス主体により要求されたアクションが許可されるか否かを判断するための基準情報であり、アクションが許可される対象を示している。通常、権限情報を明示的に定義する場合は、アクセス主体が所有する権限範囲の共通項が大きいときである。逆に、アクセス主体が所有する権限範囲の共通項が小さい場合、またはそのアクセス主体のみが固有な権限を有する場合には、権限情報を明示化せず、アクセス主体を一意に識別する情報が権限情報を示すことが多い。前者の場合は、権限範囲を示すグループやロール（役割）という抽象化された情報を権限情報に用いるものが知られている（例えば、特許文献１，２参照。）。後者は、ユーザ名やユーザ識別子などを権限情報に用いるものが知られている。
【０００５】
以上のようなアクセス制御ポリシは、文書ファイルなどの対象データへのアクセス主体を特定できる権限情報が記述される。このアクセス制御ポリシは対象データに付帯されて流通する。
【非特許文献１】Tim Moses、"OASIS eXtensible Access Control Markup Language (XACML) Version 2.0 "、OASIS Standard, 1 February 2005, [online]、 [2007年5月17日検索]、インターネット＜URL：http://docs.oasis-open.org/xacml/2.0/access_control-xacml-2.0-core-spec-os.pdf
【特許文献１】特開２００６−１２１１７号公報（第３９段落、図６）
【特許文献２】特開２０００−２０７３６３号公報（要約書）
【特許文献３】特開２００６−３３８５８７号公報（第６０段落、図１）
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら以上のようなアクセス制御技術においては、問題点の一つとして、アクセス主体に関する権限情報がアクセス制御ポリシ中に現れる場合があることが挙げられる。例えば、非特許文献１においては、図１３に示すように、アクセス制御ポリシのサブジェクト(Subject)要素１として、バート・シンプソン氏の電子メール名“bs@simpsons.com”の如き、アクセス主体を直接的に識別する権限情報２が記述されている（非特許文献１、第２５頁目を参照）。
【０００７】
ここで、アクセス主体に関する権限情報は、ユーザＩＤなどのユーザ識別子やユーザ名などのセンシティブ（機微）な情報であることが多い。しかしながら、アクセス制御ポリシが不特定多数の者から読み取り可能であると、アクセス主体に関する情報も不特定多数の者から読み取り可能になる。これはアクセス主体に関するセンシティブな情報が流出する不都合に繋がる。
【０００８】
この不都合を解決する観点から、アクセス制御ポリシを暗号化等の処理により保護する技術が知られている（例えば、特許文献３参照。）。しかしながら、本発明者の考察によると、以下の課題１〜３が残されている。
【０００９】
（第１の課題）
第１の課題は、アクセス制御ポリシを暗号化等の処理により保護すると、複数のシステム間でアクセス制御ポリシを共有する状況下では、システム数が多くなった場合に、鍵管理の煩雑さによる管理負担が増大することである。また、鍵が漏洩した場合には、アクセス制御ポリシに記述されたセンシティブな権限情報が漏えいしてしまう。
【００１０】
（第２の課題）
第２の課題は、ユーザを隠蔽したグループやロールなどの権限情報は、管理コストを低減する観点から、各アクセス主体が持つ権限範囲の共通項が大きいときに適しており、各アクセス主体が持つ権限を同値化できないとき又は同値化できる数が少ないときには適さないと考えられることである。このため、アクセス制御ポリシの適用状況によっては、個別のアクセス主体の単位でアクセスを制御したい場合、アクセス制御ポリシにセンシティブな情報を記載せざるを得ず、情報漏えいのリスクを潜在的に抱え込むことになる。
【００１１】
（第３の課題）
第３の課題は、アクセス制御ポリシ生成者が、アクセス主体に関する情報（ＩＤ情報）を管理する必要があることである。これは単一の管理ドメインの場合には問題ない。一方、複数の管理ドメイン（例えば、異なる企業組織間）の場合には、相手管理ドメインのアクセス主体の情報を管理する必要があるので、アクセス主体の情報に関する保護管理と情報の整合性維持に対するコストが大きくなると考えられる。
【００１２】
本発明は上記実情を考慮してなされたもので、アクセス制御ポリシ内のアクセス主体の記述を暗号化せずにアクセス主体の情報を保護し得るポリシ生成装置、ポリシ評価装置、認証サーバ装置及びプログラムを提供することを目的とする。
【００１３】
また、本発明の他の目的は、個別のアクセス主体の単位でアクセスを制御したい場合でも、情報漏えいのリスクを抱え込まないポリシ生成装置、ポリシ評価装置、認証サーバ装置及びプログラムを提供することにある。
【００１４】
さらに、本発明の他の目的は、ポリシ生成者がアクセス主体に関する情報を管理する必要が無いポリシ生成装置及びプログラムを提供することにある。
【課題を解決するための手段】
【００１５】
第１の発明は、アクセス主体者の身元情報を管理する認証サーバ装置に通信可能であり、いずれかの前記身元情報に対応するアクセス主体情報を含むアクセス制御ポリシを生成するためのポリシ生成装置であって、記憶手段と、前記身元情報の一覧取得要求を前記認証サーバ装置に送信する手段と、前記認証サーバ装置から受信した身元情報を一覧表示する手段と、ポリシ生成者の操作により、前記一覧表示された身元情報のうち、いずれかの身元情報を選択する手段と、前記選択された身元情報を含まない識別情報を算出する手段と、前記算出した識別情報を含み、前記選択された身元情報を含まない新たなＩＤ情報を作成し、当該新たなＩＤ情報を前記記憶手段に書き込む手段と、前記選択された身元情報と前記新たなＩＤ情報との連携要求を前記認証サーバ装置に送信する手段と、前記連携要求の送信に応じて、乱数情報からなる仮名情報を前記認証サーバ装置から受信する手段と、前記仮名情報と、前記認証サーバ装置の識別情報とを含む連携情報を含むように前記記憶手段内の新たなＩＤ情報を更新する手段と、前記連携情報内の仮名情報と、前記認証サーバ装置の識別情報とを含み、前記選択された身元情報を含まないアクセス主体情報を作成する手段と、前記作成したアクセス主体情報を含むアクセス制御ポリシを生成する手段と、を備えたポリシ生成装置である。
【００１６】
第２の発明は、アクセス主体者の身元情報及び認証要素情報と、乱数情報からなる仮名情報と、ポリシ生成装置の識別情報とを管理する認証サーバ装置に通信可能なポリシ評価装置であって、記憶手段と、前記身元情報及び認証要素情報を含まず、且つ前記仮名情報と前記認証サーバ装置の識別情報とを含むアクセス主体情報と、ポリシ生成装置の識別情報とを含むように前記ポリシ生成装置に生成されたアクセス制御ポリシを取得する手段と、前記取得したアクセス制御ポリシのうち、前記仮名情報、前記認証サーバ装置の識別情報、及び前記ポリシ生成装置の識別情報を前記記憶手段に書き込む手段と、前記記憶手段内のポリシ生成装置の識別情報を含む認証要求を認証サーバ装置に送信する手段と、前記認証要求の送信後、前記認証サーバ装置から提示要求を受信すると、前記アクセス主体者の操作により、認証要素情報を前記認証サーバ装置に送信する手段と、前記認証要素情報の送信後、当該認証要素情報と前記ポリシ生成装置の識別情報とに対応する仮名情報を前記認証サーバ装置から受信する手段と、前記受信した仮名情報と、前記記憶手段内の仮名情報とを比較する手段と、前記比較の結果、両者が一致したとき、前記取得したアクセス制御ポリシを正当と評価する手段と、を備えたポリシ評価装置である。
【００１７】
第３の発明は、ポリシ生成装置及びポリシ評価装置に通信可能な認証サーバ装置であって、アクセス主体者の身元情報及び認証要素情報を含むＩＤ情報を記憶する記憶手段と、前記身元情報の一覧取得要求を前記ポリシ生成装置から受信すると、前記記憶手段内の身元情報を前記ポリシ生成装置に送信する手段と、前記送信した身元情報のうち、前記ポリシ生成装置に選択された身元情報と、前記ポリシ生成装置内の当該身元情報を含まない新たなＩＤ情報との連携要求を前記ポリシ生成装置から受信する手段と、前記連携要求に応じて乱数情報からなる仮名情報を生成し、この仮名情報を前記ポリシ生成装置に送信する手段と、前記仮名情報と、前記ポリシ生成装置の識別情報とを含む連携情報を含むように、前記連携要求の身元情報に対応する前記記憶手段内のＩＤ情報を更新する手段と、前記身元情報及び認証要素情報を含まず、且つ前記仮名情報と前記認証サーバ装置の識別情報とを含むアクセス主体情報と、ポリシ生成装置の識別情報とを含むように前記ポリシ生成装置に生成されたアクセス制御ポリシを前記ポリシ評価装置が取得した場合、当該アクセス制御ポリシ内のポリシ生成装置の識別情報を含む認証要求を前記ポリシ評価装置から受信する手段と、前記認証要求に応じて、認証要素情報の提示要求を前記ポリシ評価装置に送信する手段と、前記認証サーバ装置から受信した認証要素情報と、前記記憶手段内の認証要素情報とを比較し、両者が一致したとき、認証処理を成功と判定する認証手段と、前記認証処理を成功と判定した認証要素情報と、前記認証要求内のポリシ生成装置の識別情報とに基づいて、前記記憶手段を検索する手段と、前記検索の結果、該当するＩＤ情報があるとき、このＩＤ情報に含まれる連携情報内の仮名情報を前記ポリシ評価装置に送信する手段と、を備えた認証サーバ装置である。
【００１８】
なお、以上の各発明は、「装置」に限らず、「プログラム」、「プログラムを記憶したコンピュータ読み取り可能な記憶媒体」、「方法」として表現してもよい。
【００１９】
（作用）
第１乃至第３の発明によれば、アクセス制御ポリシ内のアクセス主体情報が身元情報を含まないので、アクセス制御ポリシ内のアクセス主体の記述を暗号化せずにアクセス主体の情報を保護できる。
【００２０】
また、アクセス制御ポリシ内のアクセス主体情報が仮名情報を含むので、個別のアクセス主体の単位でアクセスを制御したい場合でも、情報漏えいのリスクを解消できる。
【００２１】
さらに、ポリシ生成装置が管理するＩＤ情報が身元情報を含まないので、ポリシ生成者がアクセス主体に関する情報を管理する必要が無い。
【発明の効果】
【００２２】
以上説明したように本発明によれば、アクセス制御ポリシ内のアクセス主体の記述を暗号化せずにアクセス主体の情報を保護できる。個別のアクセス主体の単位でアクセスを制御したい場合でも、情報漏えいのリスクを解消できる。さらに、ポリシ生成者がアクセス主体に関する情報を管理する必要が無い。
【発明を実施するための最良の形態】
【００２３】
以下、本発明の一実施形態について図面を用いて説明する。
図１は本発明の一実施形態に係る認証サーバ装置、ポリシ生成装置及びポリシ評価装置を適用したアクセス制御システムの構成を示す模式図である。このアクセス制御システムは、認証サーバ装置１００、ポリシ生成装置２００及びポリシ評価装置３００がネットワークＮｗを介して接続された構成である。これら各装置２００，２００，３００は、装置毎に、ハードウェア構成、又はハードウェア資源とソフトウェアとの組合せ構成のいずれでも実施可能となっている。組合せ構成のソフトウェアとしては、予めネットワーク又は記憶媒体から対応する装置のコンピュータにインストールされ、対応する装置の機能を実現させるためのプログラムが用いられる。
【００２４】
ここで、認証サーバ装置１００は、具体的には図２に示すように、ＩＤ情報保存部１０１、ＩＤ情報連携管理部１０２、利用者認証部１０３、身元情報一覧提供部１０４、通信部１０５及び制御部１０６を備えている。
【００２５】
ＩＤ情報保存部１０１は、各部１０２〜１０６から読出／書込可能な記憶装置であり、図３に示すように、アクセス主体（利用者）の身元情報と、認証要素情報と、連携情報とを含むＩＤ（アイデンティティ：Identity）情報１０を保存するものである。
【００２６】
ＩＤ情報１０は、ユーザ識別子１１ａ、氏名１１ｂ、役職情報１１ｃ、権限情報１１ｄ、パスワード１１ｅ、連携情報１２、仮名情報１３、ポリシ生成装置の識別情報１４を含んでいる。ここで、身元情報とは、氏名や従業員番号などのように、アクセス主体を特定可能な属性情報を意味しており、ここでは氏名１１ｂ、役職情報１１ｃ、権限情報１１ｄとしている。役職情報１１ｃとは、例えば会社組織上の役職を示す情報である。権限情報１１ｄとは、例えば特定グループに所属する旨や、特定のロール（役割）である旨を表す情報である。ロールとしては、ポリシ生成者によるポリシ設定を容易化する観点から、例えば資産管理者や文書ファイル管理者というように、アクセス可否に関係する役割であることが好ましい。認証要素情報とは、ポリシ評価装置３００との間の認証処理に用いる情報であり、ここではユーザ識別子１１ａ及びパスワード１１ｅとしている。なお、身元情報及び認証要素情報は、アクセス制御ポリシの生成動作の開始よりも前に、予めＩＤ情報保存部１０１に保存されている。連携情報１２は、アクセス制御ポリシの生成動作中にＩＤ情報保存部１０１に保存される。
【００２７】
連携情報１２とは、ポリシ生成装置２００内のＩＤ情報と連携が維持されている旨を示す情報であり、維持されていない場合にはＩＤ情報１０から削除されている。なお、認証サーバ装置１００内のＩＤ情報保存部１０１に保存されるＩＤ情報は、身元情報を含むため、身元ＩＤ情報又は実名ＩＤ情報と呼んでもよい。
【００２８】
ＩＤ情報連携管理部１０２は、身元情報一覧提供部１０４により通信部１０５から送信した身元情報のうち、ポリシ生成装置２００に選択された身元情報と、ポリシ生成装置２００内の当該身元情報を含まない新たなＩＤ情報との連携要求をポリシ生成装置２００から通信部１０５を介して受信する機能と、連携要求に応じて乱数情報からなる仮名情報１３を生成し、この仮名情報１３を通信部１０５からポリシ生成装置２００に送信する機能と、この仮名情報１３と、ポリシ生成装置の識別情報１４とを含む連携情報１２を含むように、連携要求の身元情報に対応するＩＤ保存部１０１内のＩＤ情報１０を更新する機能とをもっている。
【００２９】
また、ＩＤ情報連携管理部１０２では、ＩＤ情報保存部１０１に対してＩＤ情報１０の操作をも行う。ＩＤ情報１０の操作とは、一般的にはアカウント（Account）と呼ばれるＩＤ情報１０の最上位単位及び、ＩＤ情報１０が保有する属性情報を作成、読出、変更、削除、無効化、有効化などを実行することを指す。
【００３０】
利用者認証部１０３は、身元情報及び認証要素情報を含まず、且つ仮名情報と認証サーバ装置の識別情報とを含むアクセス主体情報と、ポリシ生成装置の識別情報とを含むようにポリシ生成装置２００に生成されたアクセス制御ポリシをポリシ評価装置３００が取得した場合、当該アクセス制御ポリシ内のポリシ生成装置の識別情報を含む認証要求をポリシ評価装置３００から通信部１０５により受信する機能と、認証要求に応じて、認証要素情報の提示要求を通信部１０５からポリシ評価装置３００に送信する機能と、ポリシ評価装置３００から受信した認証要素情報と、ＩＤ情報保存部１０１内の認証要素情報とを比較し、両者が一致したとき、認証処理を成功と判定する認証機能と、認証処理を成功と判定した認証要素情報と、認証要求内のポリシ生成装置の識別情報とに基づいて、ＩＤ情報保存部１０１を検索する機能と、検索の結果、該当するＩＤ情報１０があるとき、このＩＤ情報１０に含まれる連携情報１２内の仮名情報１３を通信部１０５からポリシ評価装置３００に送信する機能とをもっている。
【００３１】
ここで、認証処理としては、任意の利用者認証方式を用いてよい。認証が成功したとき、送信する仮名情報は、認証情報に含まれる形式で送信されることが好ましい。この認証情報は、任意の形式で構わないが、好適にはOASIS SAML（Security Assertion Markup Language） V2.0仕様の認証アサーション形式等の標準化された規格または仕様で構築されることが望ましい。
【００３２】
身元情報一覧提供部１０４は、身元情報の一覧取得要求をポリシ生成装置２００から通信部１０５により受信すると、ＩＤ情報保存部１０１内の身元情報を通信部１０５からポリシ生成装置２００に送信する機能をもっている。
【００３３】
身元情報の一覧とは、ＩＤ情報保存部１０１内のＩＤ情報のうち、身元情報を一覧表示するための情報であり、図４に示すように、氏名や、役職情報、権限情報などの身元に関する属性情報を、各ＩＤ情報の単位で構成した情報である。身元情報一覧は、アクセス主体の候補を示す情報でもある。身元情報一覧に含める属性情報の種別は、ポリシ生成装置２００と認証サーバ装置１００の間で事前に決定されてもよく、ポリシ生成装置２００からの要求により決定されてもよい。
【００３４】
通信部１０５は、ポリシ生成装置２００やポリシ評価装置３００などの外部エンティティ装置との間での通信を行うものである。外部エンティティ装置との間での通信において、エンティティ認証を実行する場合は、この通信部１０５で行うことが望ましい。
【００３５】
制御部１０６は、認証サーバ装置１００内でのイベントやデータを制御するための機能部である。この制御部１０６を介して、各部１０１〜１０５に対して命令を実行したり、処理に必要なデータを受け渡したりする。なお、以下の説明では、説明を簡潔にする観点から、制御部１０６を介在する旨の記載を省略する。
【００３６】
ポリシ生成装置２００は、具体的には図５に示すように、ＩＤ情報保存部２０１、ＩＤ情報連携管理部２０２、身元情報取得部２０３、身元情報一覧部２０４、ポリシ生成部２０５、ポリシ出力部２０６、ユーザインタフェース部２０７、通信部２０８及び制御部２０９を備えている。
【００３７】
ＩＤ情報保存部２０１は、各部２０２〜２０９から読出／書込可能な記憶装置であり、図６に示すように、アクセス主体の身元情報を含まないＩＤ情報２０を保存するものである。ここで、ＩＤ情報２０は、ユーザ識別子’２１、連携情報２２、仮名情報２３、認証サーバ装置の識別情報２４を含んでいる。
【００３８】
ユーザ識別子’２１は、ポリシ生成装置２００により算出された識別情報である。
【００３９】
連携情報２２は、仮名情報２３、認証サーバ装置の識別情報２４を含んでいる。ここでの連携（ＩＤ連携）とは、２つ以上の異なるＩＤ情報を、前記連携情報により関連付けることを指す。例えば、あるＩＤ情報Ａと、あるＩＤ情報Ｂが連携されたとすると、ＩＤ情報ＡとＩＤ情報Ｂとが有する連携情報に基づいて、互いに関連付けられたＩＤ情報を特定することができる。ただし、単独のＩＤ情報が有する連携情報、例えばＩＤ情報Ａが有する連携情報のみでは、関連付けられた他のＩＤ情報（ＩＤ情報Ｂ）を特定することができないようにする。このため、後述する仮名情報２３のような、それぞれのＩＤ情報から類推できない情報を用いて、ＩＤ情報を関連付けることを想定している。
【００４０】
仮名情報２３は、認証サーバ装置１００とポリシ生成装置２００で合意された一時的な識別情報である。本実施形態における例では、認証サーバ装置１００とポリシ生成装置２００とで一つの仮名（かめい）情報を利用し、認証サーバ装置１００が仮名情報を決定している。ＩＤ連携の技術手段については、本実施形態で示す例以外の任意の技術手段をとってもよい。また、「仮名情報」は、「変名情報」又は「架空名義情報」など、「本名を伏せて仮につける名前を表す情報」であれば、任意の名称の情報に読み替えてもよい。
【００４１】
認証サーバ装置の識別情報２４は、認証サーバ装置１００を一意に特定可能な識別情報である。そのような情報を表現する形式としては、ＵＲＩ（Uniform Resource Identifier）またはＵＲＬ（Uniform Resource Locator）などが知られている。
【００４２】
なお、ポリシ生成装置２００内のＩＤ情報保存部２０１に保存されるＩＤ情報２０は、仮名情報を含むため、仮名ＩＤ情報と呼んでもよい。
【００４３】
ＩＤ情報連携管理部２０２は、ポリシ設定者により選択された身元情報と新たなＩＤ情報２０との連携要求を通信部２０８から認証サーバ装置１００に送信する機能と、連携要求の送信に応じて、乱数情報からなる仮名情報を認証サーバ装置から受信する機能と、この仮名情報２３と、認証サーバ装置の識別情報２４とを含む連携情報を含むようにＩＤ情報保存部２０１内の新たなＩＤ情報２０を更新する機能とをもっている。本実施形態では、ＩＤ情報の連携例として、図３及び図６に示すような連携情報１２，２２を利用することを想定する。なお、図３及び図６中、仮名情報１３，２３は互いに同一の情報である。
【００４４】
身元情報取得部２０３は、身元情報の一覧取得要求を通信部２０８から認証サーバ装置１００に送信する機能をもっている。
【００４５】
身元情報一覧部２０４は、認証サーバ装置１００から通信部２０８により受信した身元情報をユーザインタフェース部２０７により一覧表示する機能とをもっている。なお、身元情報一覧は、一時的に取得される情報であり、ＩＤ情報保存部２０１に保存しないことが望ましい。
【００４６】
ポリシ生成部２０５は、ポリシ設定者（ポリシ生成者）の操作により、一覧表示された身元情報のうち、いずれかの身元情報を選択する機能と、選択された身元情報がＩＤ情報保存部２０１に存在するかを検索する機能と、選択された身元情報を含まない識別情報（ユーザ識別子’２１）を算出する機能と、算出した識別情報を含み、選択された身元情報を含まない新たなＩＤ情報２０を作成し、当該新たなＩＤ情報２０をＩＤ情報保存部２０１に書き込む機能と、ＩＤ保存部２０１の連携情報２２内の仮名情報２３と、認証サーバ装置の識別情報２４とを含み、選択された身元情報を含まないアクセス主体情報２５を作成する機能と、作成したアクセス主体情報２５を含むアクセス制御ポリシＰを生成する機能とをもっている。なお、選択された身元情報を含まない識別情報（ユーザ識別子’２１）は、当該身元情報から一意に算出することが望ましい。
【００４７】
アクセス制御ポリシＰは、図７に示すように、アクセス主体情報２５、仮名情報２３’、認証サーバ装置の識別情報２４’、アクション情報２６、リソース情報２７、ポリシ生成装置の識別情報２８を備えている。なお、アクション情報２６とは、例えば、読出処理又は書込処理の実行といった処理の実行内容を示している。リソース情報２７とは、アクセス対象となる資源を示す情報であり、例えば特定のファイルを示すＵＲＬ情報などである。上記以外の情報として、アクセス可否を判定するための時間や場所などの環境条件を示す環境情報や、アクセス可否を判定するための任意の条件を示すコンディション情報や、実行しなければならない行為内容を示す責務情報などを、アクセス制御ポリシＰに記述してもよい。
【００４８】
アクセス主体情報２５は、ＸＭＬ（Extensible Markup Language）表記によりサブジェクト要素として記述された例を図８に示す。サブジェクト要素は、仮名情報２３の値を含むＸＭＬ表記の仮名情報２３’と、認証サーバ装置の識別情報２４の値を含むＸＭＬ表記の認証サーバ装置の識別情報２４’とを備えている。
【００４９】
ポリシ出力部２０６は、ポリシを外部に出力するための機能部である。ポリシを出力する形態については、ポリシ評価装置３００が取得可能な形態であればよい。好適には、ディレクトリサーバなどのリポジトリに格納して外部公開したり、ポリシを適用すべき対象データに付加したりすることなどが挙げられる。または、後述するポリシ生成装置２００の通信部２０８を介して、メッセージ等でポリシを出力してもよい。
【００５０】
ユーザインタフェース部２０７は、ポリシ生成装置２００の利用者、すなわちポリシ設定者に対して、入力及び表示を実行するための機能部である。この機能部は、ポリシ生成装置２００内の機能部だけでなく、一般的なＷｅｂシステムのＷｅｂブラウザや、クライアント／サーバシステムなどとして実現されてもよい。
【００５１】
通信部２０８は、認証サーバ装置１００やポリシ評価装置３００などの外部エンティティ装置との通信を行うものである。外部エンティティ装置との間での通信において、エンティティ認証を実行する場合は、この通信部２０８で行うことが望ましい。
【００５２】
制御部２０９は、ポリシ生成装置２００内でのイベントやデータを制御するための機能部である。制御部２０９は、各部２０１〜２０８に対して命令を実行したり、処理に必要なデータを受け渡したりする。なお、以下の説明では、説明を簡潔にする観点から、制御部２０９を介在する旨の記載を省略する。
【００５３】
ポリシ評価装置３００は、ポリシ生成装置２００により生成されたポリシを評価かつ実行する装置である。ポリシの評価対象者であるサブジェクトは、ポリシ評価装置３００の利用者（以下、特別な記述がなければ、利用者という記述はこの利用者を指すものとする）となる。これに伴い、ポリシ評価装置３００は、利用者装置又は利用者端末と呼んでもよい。
【００５４】
ポリシ評価装置３００は、具体的には図９に示すように、ポリシ保存部３０１、ポリシ取得部３０２、ポリシ解析部３０３、利用者認証クライアント部３０４、ポリシ評価部３０５、ポリシ実行部３０６、制御インタフェース部３０７、ユーザインタフェース部３０８、通信部３０９及び制御部３１０を備えている。
【００５５】
ポリシ保存部３０１は、各部３０２〜３１０から読出／書込可能な記憶装置であり、アクセス制御ポリシ内の各情報２３〜２８を保存する。
【００５６】
ポリシ取得部３０２は、身元情報及び認証要素情報を含まず、且つ仮名情報２３と認証サーバ装置の識別情報２４とを含むアクセス主体情報２５と、ポリシ生成装置の識別情報２８とを含むようにポリシ生成装置２００に生成されたアクセス制御ポリシＰを外部エンティティ装置から取得するための機能部である。なお、ここでは、アクセス制御ポリシＰは他にもアクション情報２６、リソース情報２７を含んでいる。ポリシを取得する具体的な方式は、ポリシ生成装置２００におけるポリシ出力部２０６の出力方式による。本実施形態では一例として、ポリシを適用すべき対象データより、ポリシを取得する例を説明する。
【００５７】
ポリシ解析部３０３は、ポリシ取得部３０２が取得したアクセス制御ポリシＰを解析し、アクセス制御ポリシＰのうち、仮名情報２３、認証サーバ装置の識別情報２４、アクション情報２６、リソース情報２７、ポリシ生成装置の識別情報２８をポリシ保存部３０１に書き込む機能をもっている。
【００５８】
ポリシ解析部３０３は、例えば、ポリシがＯＡＳＩＳ ＸＡＣＭＬ Ｖ２．０などのＸＭＬ表記で記述されている場合には、ポリシに記述される要素及び属性、その値らをオブジェクト構造として取得するような処理を行う。解析されたポリシに記述された情報は、ポリシ保存部３０１に書き込まれた後、利用者認証クライアント部３０４及びポリシ評価部３０５に渡される。
【００５９】
利用者認証クライアント部３０４は、ポリシ保存部３０１内のポリシ生成装置の識別情報２８を含む認証要求を通信部３０９から認証サーバ装置１００に送信する機能と、認証要求の送信後、認証サーバ装置１００から提示要求を通信部３０９により受信すると、アクセス主体者の操作により、認証要素情報（例、ユーザ識別子及びパスワード）を通信部３０９から認証サーバ装置１００に送信する機能と、認証要素情報の送信後、当該認証要素情報（１１ａ，１１ｅ）とポリシ生成装置の識別情報１４とに対応する仮名情報１３を認証サーバ装置１００から通信部３０９により受信する機能と、受信した仮名情報１３をポリシ評価部３０５に送出する機能とをもっている。
【００６０】
ポリシ評価部３０５は、通信部３０９により受信した仮名情報１３と、ポリシ保存部３０１内の仮名情報２３とを比較する機能と、比較の結果、両者が一致したとき、取得したアクセス制御ポリシＰを正当と評価する機能とをもっている。なお、アクセス制御ポリシに記述されるアクセス主体情報２５の評価以外のアクション情報２６及びリソース情報２７の評価手段については任意の手段を用いればよい。
【００６１】
ポリシ実行部３０６は、制御対象に対するアクセス要求が生じたときに、ポリシ評価部３０５にポリシ評価を依頼するための機能部である。また、ポリシ評価部３０５より得られたポリシの効果に従って、制御インタフェース部３０７を介して制御対象に対するアクションを制御する。制御対象に対するアクションは、任意の手段を介して取得されてよい。例えば、アプリケーションのイベントを取得するリスナー機能などを利用して、ポリシ実行部３０６が制御対象に対するアクションを取得する手段などが挙げられる。
【００６２】
制御インタフェース部３０７は、ポリシ評価部３０５が出力したポリシの結果に基づいて、制御対象を制御するための機能部であり、ポリシ実行部３０６により操作される。
【００６３】
ユーザインタフェース部３０８は、ポリシ評価装置３００の利用者、すなわちポリシの対象となるリソースにアクセスを要求する利用者に対して、入力及び表示を実行するための機能部である。この機能部は、ポリシ評価装置３００の利用者とのインタラクションが要求される場合にのみ配備すればよい。例えば、ポリシ評価の結果を利用者に還元する場合や、ポリシ実行部３０６に対して利用者が明示的に評価を要求する場合などである。
【００６４】
通信部３０９は、認証サーバ装置１００などの外部エンティティ装置との間での通信を行うものである。外部エンティティ装置との間での通信において、エンティティ認証を実行する場合は、この通信部３０９で行うことが望ましい。
【００６５】
制御部３１０は、ポリシ評価装置３００内でのイベントやデータを制御するための機能部である。この制御部３１０は、各部３０１〜３０９に対して命令を実行したり、処理に必要なデータを受け渡したりする。なお、以下の説明では、説明を簡潔にする観点から、制御部３１０を介在する旨の記載を省略する。
【００６６】
次に、以上のようなアクセス制御システムの動作を図１０乃至図１２の図面を用いて説明する。
【００６７】
（ポリシ生成動作；図１０）
［ステップＳＴ１］ ポリシ生成装置２００では、ポリシ設定者の操作により、ユーザインタフェース部２０７が身元情報一覧取得要求を身元情報取得部２０３に入力する。
【００６８】
［ステップＳＴ２］ ポリシ生成装置２００では、身元情報取得部２０３が、この身元情報一覧取得要求を通信部２０８から認証サーバ装置１００に送信する。
【００６９】
［ステップＳＴ３］ 認証サーバ装置１００では、身元情報一覧取得要求を通信部１０５により受信すると、身元情報一覧提供部１０２がＩＤ情報保存部１０１内のＩＤ情報のうち、身元情報を一覧表示するための身元情報一覧を作成する。しかる後、身元情報一覧提供部１０２は、この身元情報一覧を通信部１０５からポリシ生成装置２００に送信する。
【００７０】
［ステップＳＴ４］ ポリシ生成装置２００では、身元情報一覧を通信部２０８により受信すると、身元情報取得部２０３が身元情報一覧を身元情報一覧部２０４に送出する。
【００７１】
身元情報一覧部２０４は、この身元情報一覧をユーザインタフェース部２０７に送出する。ユーザインタフェース部２０７は、この身元情報一覧を表示する。
【００７２】
［ステップＳＴ５］ ポリシ生成装置２００では、身元情報一覧の表示中、ポリシ設定者の操作により、ユーザインタフェース部２０７が身元情報一覧からいずれかの身元情報を選択し、選択した身元情報をポリシ生成部２０５に送出する。
【００７３】
また、ポリシ生成装置２００では、ポリシ設定者の操作により、ユーザインタフェース部２０７が、アクション情報及びリソース情報などをポリシ生成部２０５に入力する。
【００７４】
［ステップＳＴ６］ ポリシ生成部２０５は、選択された身元情報と連携されるＩＤ情報が存在するかについて、ＩＤ情報保存部２０１を検索する。ここでは、選択された身元情報から一意に識別情報を算出し、当該算出した識別情報に基づいて検索する。例えば、選択された身元情報のハッシュ値を算出し、算出したハッシュ値を識別情報（ユーザ識別子’２１）として用いている。なお、算出される識別情報は、ハッシュ値に限らず、選択された身元情報から一意に得られ、且つ選択された身元情報を含まない情報であれば、任意の識別情報が適用可能となっている。なお、選択された身元情報から一意に識別情報を利用せずに、仮名情報を利用してＩＤ情報保存部２０１を検索してもよい。仮名情報は、身元情報一覧で送信される身元情報の属性として含められてもよく、選択された身元情報を認証サーバ装置１００に送信し、仮名情報を取得してもよい。その場合、［ステップＳＴ７］において、シーケンシャルな番号など、ポリシ生成装置２００内で一意な識別情報を生成する。何れにしろ、選択された身元情報と連携されるＩＤ情報２０が、ＩＤ情報保存部２０１に存在するかを確認できればよい。なお、検索の結果、選択された身元情報と連携されるＩＤ情報２０がＩＤ情報保存部２０１に存在しない場合には、ステップＳＴ７へ遷移する。検索の結果、識別情報が既にＩＤ情報保存部２０１に存在するのであればステップＳＴ１０へ遷移する。
【００７５】
［ステップＳＴ７］ ポリシ生成部２０５は、算出した識別情報を含み、選択された身元情報を含まない新たなＩＤ情報２０を作成する。この新たなＩＤ情報２０と、選択された身元情報とは、ポリシ生成部２０５からＩＤ情報連携管理部２０２に送出される。
【００７６】
［ステップＳＴ８］ ＩＤ情報連携管理部２０２は、ステップＳＴ５で選択された身元情報と、ステップ７の新たなＩＤ情報２０との連携要求を通信部２０８から認証サーバ装置１００に送信する。
【００７７】
認証サーバ装置１００では、連携要求を通信部１０５により受信すると、ＩＤ情報連携管理部１０２が、乱数情報からなる仮名情報１３を生成する。この仮名情報１３は、通信部１０５からポリシ生成装置２００に送信される。なお、本実施形態で説明される連携方法については一例であり、その他任意の手段を用いてもよく、仮名情報１３により互いのＩＤ情報１０，２０が連携されればよい。
【００７８】
［ステップＳＴ９］ 認証サーバ装置１００では、ＩＤ情報連携管理部１０２が、仮名情報１３と、ポリシ生成装置の識別情報１４とを含む連携情報１２を含むようにＩＤ情報保存部１０１内の該当ＩＤ情報１０を更新する。
【００７９】
ポリシ生成装置２００では、仮名情報１３を通信部２０８により受信すると、ＩＤ情報連携管理部２０２が、仮名情報１３に同一の仮名情報２３と、認証サーバ装置の識別情報２４とを含む連携情報２２を含むようにＩＤ情報保存部２０１内の新たなＩＤ情報２０を更新する。これにより、互いの装置１００，２００に保存されたＩＤ情報１０，２０が関連付けられる。
【００８０】
［ステップＳＴ１０］ ポリシ生成装置２００では、ポリシ生成部２０５が、連携情報２２内の仮名情報２３及び認証サーバ装置の識別情報２４を含み、選択した身元情報を含まないアクセス主体情報２５を作成する。また、ポリシ生成部２０５は、このアクセス主体情報２５と、ステップＳＴ５で入力されたアクション情報２６及びリソース情報２７と、ポリシ生成装置の識別情報２８とに基づいて、アクセス制御ポリシＰを生成する。
【００８１】
［ステップＳＴ１１］ ポリシ生成装置２００では、生成されたアクセス制御ポリシＰをユーザインタフェース部２０７が出力する。
【００８２】
［ステップＳＴ１２］ これにより、ポリシ生成装置２００では、処理が完了した旨をポリシ設定者に通知する。これにより、ポリシ生成動作が完了する。
【００８３】
（ポリシ実行動作；図１１及び図１２）
以下の説明では、ステップＳＴ９で格納した連携情報が維持されており、また任意の手段によってポリシ評価の動作が開始することを前提としている。例えば、ポリシ評価装置３００では、利用者がポリシ評価を伴うアクセス要求を入力するようにユーザインタフェース部３０８を操作することにより、次のステップＳＴ２１の動作が開始される。
【００８４】
［ステップＳＴ２１］ ポリシ評価装置３００では、ポリシ取得部３０２がアクセス制御ポリシＰを取得する。例えば、ポリシ取得部３０２は、アクセス制御ポリシＰが付帯する文書ファイルを文書管理サーバ（図示せず）からダウンロードすることにより、アクセス制御ポリシＰを取得する。すなわち、アクセス制御ポリシＰは、必ずしもポリシ生成装置２００から直接にポリシ評価装置３００に送信される必要はなく、最終的にポリシ評価装置３００に取得されればよい。
【００８５】
取得されたアクセス制御ポリシは、ポリシ取得部３０２からポリシ解析部３０３に送出される。ポリシ解析部３０３は、アクセス制御ポリシＰを解析し、アクセス制御ポリシＰ内の仮名情報２３、認証サーバ装置の識別情報２４、アクション情報２６、リソース情報２７及びポリシ生成装置の識別情報２８をポリシ保存部３０１に書き込む。ポリシ保存部３０１内の仮名情報２３、認証サーバ装置の識別情報２４、アクション情報２６及びリソース情報２７は、ポリシ解析部３０３からポリシ評価部３０５に送出される。また、ポリシ解析部３０３は、ポリシ保存部３０１内の認証サーバ装置の識別情報２４と、ポリシ生成装置の識別情報２８とは、ポリシ解析部３０３から利用者認証クライアント部３０４に送出される。
【００８６】
［ステップＳＴ２２］ ポリシ評価装置３００では、利用者認証クライアント部３０４が、この認証サーバ装置の識別情報２４に基づいて、ポリシ生成装置の識別情報２８を含む利用者認証要求を認証サーバ装置１００に送信する。
【００８７】
［ステップＳＴ２３〜ＳＴ２５］ 認証サーバ装置１００では、利用者認証要求を通信部１０５により受信すると、利用者認証部１０３が、図１１に示すように、所定の利用者認証方式を実行する（ＳＴ２３−１）。例えば、一般的なユーザ識別子とパスワードを用いた認証方式であれば、利用者認証部１０３は、通信部１０５を介してポリシ評価装置３００の利用者にユーザ識別子とパスワードの提示を要求し、提示されたユーザ識別子及びパスワードをＩＤ情報保存部１０１内のユーザ識別子１１ａ及びパスワード１１ｅと比較し、認証が成功か否かを判断する（ＳＴ２３−２）。認証が失敗した場合には、利用者認証部１０３は、認証が失敗した旨を通信部１０５からポリシ評価装置３００に通知し、利用者認証をリトライするか（ＳＴ２３−３）、又は全体の動作を終了する。
【００８８】
一方、認証が成功した場合、利用者認証部１０３は、ＩＤ情報の連携情報１２を確認する（ＳＴ２４−１）。具体的には、利用者認証部１０３は、提示されたユーザ識別子１１ａと利用者認証要求内のポリシ生成装置の識別情報２８とに基づいて、利用者のＩＤ情報１０を検索することにより、連携情報１２が維持されているかを判定する（ＳＴ２４−２）。
【００８９】
この判定の結果、ＩＤ情報の連携が維持されていない場合には、連携が維持されていない旨を通信部１０５からポリシ評価装置３００に通知し（ＳＴ２４−３）、全体の動作を終了する。連携が維持されていない場合としては、例えば、あらかじめポリシ生成装置２００又は認証サーバ装置１００が連携情報を削除するように他方の装置１００，２００に要求し、両者の連携情報１２，２２が削除された場合などがある。
【００９０】
一方、ステップＳＴ２４−２の判定の結果、ＩＤ情報の連携が維持されている場合には、認証サーバ装置１００では、利用者認証部１０３がＩＤ情報保存部１０１内の仮名情報１３を含む認証情報を生成し（ＳＴ２５−１）、この認証情報を通信部１０５からポリシ評価装置３００に送信する（ＳＴ２５−２）。
【００９１】
［ステップＳＴ２６］ ポリシ評価装置３００では、認証情報を通信部３０９が受信すると、ポリシ評価部３０５が、この認証情報内の仮名情報１３と、ポリシ解析部３０３から受けた仮名情報２３とを比較し、両者が一致したとき、アクセス制御ポリシＰを正当と評価する。
【００９２】
アクセス制御ポリシＰが正当でない場合、ポリシ評価部３０５は、アクセス制御ポリシＰが正当でない旨をユーザインタフェース部３０８に送出し、処理を終了する。
【００９３】
一方、アクセス制御ポリシＰが正当の場合、ポリシ評価部３０５は、制御対象に対するアクセス要求と、ポリシ解析部３０３から受けたアクション情報２６及びリソース情報２７とに基づいて、アクセスの可否を判定し、判定結果をポリシ実行部３０６に送出する。
【００９４】
［ステップＳＴ２７］ ポリシ実行部３０６は、アクセス可否の判定結果に応じて、制御対象を制御する。例えば、判定結果が、特定リソースへのアクセス要求に対して許可（PERMIT）を示すものであれば、制御対象となる特定リソースへのアクセスを行うアプリケーションに対して、アクセスを許可させる。逆に、判定結果が、特定リソースへのアクセス要求に対して拒否（DENY）を示すものであれば、制御対象となる特定リソースへのアクセスを行うアプリケーションに対して、アクセスを拒否させる。これらの制御内容は、ポリシの記述内容に依存して決定される。
【００９５】
上述したように本実施形態によれば、アクセス制御ポリシＰ内のアクセス主体情報２５が身元情報を含まないので、アクセス制御ポリシ内のアクセス主体の記述を暗号化せずにアクセス主体の情報を保護できる。
【００９６】
また、アクセス制御ポリシＰ内のアクセス主体情報２５が仮名情報２３を含むので、個別のアクセス主体の単位でアクセスを制御したい場合でも、情報漏えいのリスクを解消できる。
【００９７】
さらに、ポリシ生成装置２００が管理するＩＤ情報２０が身元情報を含まないので、ポリシ生成者がアクセス主体に関する情報を管理する必要が無い。
【００９８】
補足すると、本実施形態では、アクセス主体の単位でアクセス制御を行う必要がある場合に、アクセス制御ポリシの中に直接的にアクセス主体を特定可能な識別情報を記述するかわりに、単体ではアクセス主体を特定不可能な一時的な識別情報を用いることにより、アクセス制御ポリシ上でアクセス主体に関する情報を保護することができる。これにより、アクセス制御ポリシを公開的な共有情報として取り扱うことができ、アクセス制御ポリシを暗号化などで隠蔽するような場合と比較して、暗号化鍵の漏えいなどのセキュリティリスクを排除しつつ、アクセス制御ポリシの広範囲な適用を期待することができる。
【００９９】
また、本実施形態は、ポリシ生成装置２００と認証サーバ装置１００とのＩＤ情報が連携している場合を説明したが、これに限らず、何れかの装置２００，１００が連携情報を削除するように他の装置１００，２００に要求すると連携情報が削除され、連携が解除される。
【０１００】
この連携解除により、認証サーバ装置１００では、ステップＳＴ２４−２がＮＯとなるので、ポリシ評価装置３００において、アクセス制御ポリシＰが正当と評価されない。すなわち、ポリシ生成者（ポリシ生成装置利用者）及びユーザ管理者（認証サーバ装置管理者）の双方から、アクセス制御ポリシ内に記述されるアクセス主体を無効化することができる。
【０１０１】
また、連携を解除する方法は、連携情報の削除を要求する方式に限らず、例えば、予め連携情報有効期限を連携情報１２，２２に含めておき、認証サーバ装置１００が認証時に連携情報有効期限を過ぎてない旨を確認する方式としてもよい。
【０１０２】
なお、本実施形態で説明した認証サーバ装置１００とポリシ生成装置２００とは、同一の装置上で実現されてもよい。
【０１０３】
また、上記実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
【０１０４】
また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
【０１０５】
また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。
【０１０６】
さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。
【０１０７】
また、記憶媒体は１つに限らず、複数の媒体から上記実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
【０１０８】
尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
【０１０９】
また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【０１１０】
なお、本願発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に亘る構成要素を適宜組合せてもよい。
【図面の簡単な説明】
【０１１１】
【図１】本発明の一実施形態に係るアクセス制御システムの構成を示す模式図である。
【図２】同実施形態における認証サーバ装置の構成を示す模式図である。
【図３】同実施形態における認証サーバ装置内のＩＤ情報保存部の構成を示す模式図である。
【図４】同実施形態におけるＩＤ情報一覧を説明するための模式図である。
【図５】同実施形態におけるポリシ生成装置の構成を示す模式図である。
【図６】同実施形態におけるポリシ生成装置内のＩＤ情報保存部の構成を示す模式図である。
【図７】同実施形態におけるポリシ情報を説明するための模式図である。
【図８】同実施形態におけるポリシ情報のサブジェクト要素の記述例を示す模式図である。
【図９】同実施形態におけるポリシ評価装置の構成を示す模式図である。
【図１０】同実施形態におけるポリシ生成動作を説明するためのシーケンス図である。
【図１１】同実施形態におけるポリシ実行動作を説明するためのシーケンス図である。
【図１２】同実施形態における認証サーバ装置の動作を説明するためのフローチャートである。
【図１３】従来のアクセス制御ポリシを説明するための模式図である。
【符号の説明】
【０１１２】
１０，２０…ＩＤ情報、１１ａ…ユーザ識別子、１１ｂ…氏名、１１ｃ…役職情報、１１ｄ…権限情報、１１ｅ…パスワード、１２，２２…連携情報、１３，２３，２３’…仮名情報、１４，２８…ポリシ生成装置の識別情報、２１…ユーザ識別子’、２４，２４’…認証サーバ装置の識別情報、Ｐ…アクセス制御ポリシ、２５…アクセス主体情報、２６…アクション情報、２７…リソース情報、１００…認証サーバ装置、１０１，２０１…ＩＤ情報保存部、１０２，２０２…ＩＤ情報連携管理部、１０３…利用者認証部、１０４…身元情報一覧提供部、１０５，２０８，３０９…通信部、１０６，２０９，３１０…制御部、２００…ポリシ生成装置、２０３…身元情報取得部、２０４…身元情報一覧部、２０５…ポリシ生成部、２０６…ポリシ出力部、２０７，３０８…ユーザインタフェース部、３００…ポリシ評価装置、３０１…ポリシ保存部、３０２…ポリシ取得部、３０３…ポリシ解析部、３０４…利用者認証クライアント部、３０５…ポリシ評価部、３０６…ポリシ実行部、３０７…制御インタフェース部、Ｎｗ…ネットワーク。
【特許請求の範囲】
【請求項１】
アクセス主体者の身元情報を管理する認証サーバ装置に通信可能であり、いずれかの前記身元情報に対応するアクセス主体情報を含むアクセス制御ポリシを生成するためのポリシ生成装置であって、
前記身元情報の一覧取得要求を前記認証サーバ装置に送信する手段と、
前記認証サーバ装置から受信した身元情報を一覧表示する手段と、
前記一覧表示された身元情報のうち、いずれかの身元情報を選択する手段と、
前記選択された身元情報を含まない識別情報を算出する手段と、
前記算出した識別情報を含み、前記選択された身元情報を含まない新たなＩＤ情報を作成し、当該新たなＩＤ情報を記憶手段に書き込む手段と、
前記選択された身元情報と前記新たなＩＤ情報との連携要求を前記認証サーバ装置に送信する手段と、
前記連携要求の送信に応じて、乱数情報からなる仮名情報を前記認証サーバ装置から受信する手段と、
前記仮名情報と、前記認証サーバ装置の識別情報とを含む連携情報を含むように前記記憶手段内の新たなＩＤ情報を更新する手段と、
前記連携情報内の仮名情報と、前記認証サーバ装置の識別情報とを含み、前記選択された身元情報を含まないアクセス主体情報を作成する手段と、
前記作成したアクセス主体情報を含むアクセス制御ポリシを生成する手段と、
を備えたことを特徴とするポリシ生成装置。
【請求項２】
アクセス主体者の身元情報及び認証要素情報と、乱数情報からなる仮名情報と、ポリシ生成装置の識別情報とを管理する認証サーバ装置に通信可能なポリシ評価装置であって、
前記身元情報及び認証要素情報を含まず、且つ前記仮名情報と前記認証サーバ装置の識別情報とを含むアクセス主体情報と、ポリシ生成装置の識別情報とを含むように前記ポリシ生成装置に生成されたアクセス制御ポリシを取得する手段と、
前記取得したアクセス制御ポリシのうち、前記仮名情報、前記認証サーバ装置の識別情報、及び前記ポリシ生成装置の識別情報を記憶手段に書き込む手段と、
前記記憶手段内のポリシ生成装置の識別情報を含む認証要求を認証サーバ装置に送信する手段と、
前記認証要求の送信後、前記認証サーバ装置から提示要求を受信すると、認証要素情報を前記認証サーバ装置に送信する手段と、
前記認証要素情報の送信後、当該認証要素情報と前記ポリシ生成装置の識別情報とに対応する仮名情報を前記認証サーバ装置から受信する手段と、
前記受信した仮名情報と、前記記憶手段内の仮名情報とを比較する手段と、
前記比較の結果、両者が一致したとき、前記取得したアクセス制御ポリシを正当と評価する手段と、
を備えたことを特徴とするポリシ評価装置。
【請求項３】
ポリシ生成装置及びポリシ評価装置に通信可能な認証サーバ装置であって、
アクセス主体者の身元情報及び認証要素情報を含むＩＤ情報を記憶する記憶手段と、
前記身元情報の一覧取得要求を前記ポリシ生成装置から受信すると、前記記憶手段内の身元情報を前記ポリシ生成装置に送信する手段と、
前記送信した身元情報のうち、前記ポリシ生成装置に選択された身元情報と、前記ポリシ生成装置内の当該身元情報を含まない新たなＩＤ情報との連携要求を前記ポリシ生成装置から受信する手段と、
前記連携要求に応じて乱数情報からなる仮名情報を生成し、この仮名情報を前記ポリシ生成装置に送信する手段と、
前記仮名情報と、前記ポリシ生成装置の識別情報とを含む連携情報を含むように、前記連携要求の身元情報に対応する前記記憶手段内のＩＤ情報を更新する手段と、
前記身元情報及び認証要素情報を含まず、且つ前記仮名情報と前記認証サーバ装置の識別情報とを含むアクセス主体情報と、ポリシ生成装置の識別情報とを含むように前記ポリシ生成装置に生成されたアクセス制御ポリシを前記ポリシ評価装置が取得した場合、当該アクセス制御ポリシ内のポリシ生成装置の識別情報を含む認証要求を前記ポリシ評価装置から受信する手段と、
前記認証要求に応じて、認証要素情報の提示要求を前記ポリシ評価装置に送信する手段と、
前記認証サーバ装置から受信した認証要素情報と、前記記憶手段内の認証要素情報とを比較し、両者が一致したとき、認証処理を成功と判定する認証手段と、
前記認証処理を成功と判定した認証要素情報と、前記認証要求内のポリシ生成装置の識別情報とに基づいて、前記記憶手段を検索する手段と、
前記検索の結果、該当するＩＤ情報があるとき、このＩＤ情報に含まれる連携情報内の仮名情報を前記ポリシ評価装置に送信する手段と、
を備えたことを特徴とする認証サーバ装置。
【請求項４】
アクセス主体者の身元情報を管理する認証サーバ装置に通信可能であり、いずれかの前記身元情報に対応するアクセス主体情報を含むアクセス制御ポリシを生成するためのポリシ生成装置のプログラムであって、
前記ポリシ生成装置を、
前記身元情報の一覧取得要求を前記認証サーバ装置に送信する手段、
前記認証サーバ装置から受信した身元情報を一覧表示する手段、
前記一覧表示された身元情報のうち、いずれかの身元情報を選択する手段、
前記選択された身元情報を含まない識別情報を算出する手段、
前記算出した識別情報を含み、前記選択された身元情報を含まない新たなＩＤ情報を作成し、当該新たなＩＤ情報を前記ポリシ生成装置の記憶手段に書き込む手段、
前記選択された身元情報と前記新たなＩＤ情報との連携要求を前記認証サーバ装置に送信する手段、
前記連携要求の送信に応じて、乱数情報からなる仮名情報を前記認証サーバ装置から受信する手段、
前記仮名情報と、前記認証サーバ装置の識別情報とを含む連携情報を含むように前記記憶手段内の新たなＩＤ情報を更新する手段、
前記連携情報内の仮名情報と、前記認証サーバ装置の識別情報とを含み、前記選択された身元情報を含まないアクセス主体情報を作成する手段、
前記作成したアクセス主体情報を含むアクセス制御ポリシを生成する手段、
として機能させるためのプログラム。
【請求項５】
アクセス主体者の身元情報及び認証要素情報と、乱数情報からなる仮名情報と、ポリシ生成装置の識別情報とを管理する認証サーバ装置に通信可能なポリシ評価装置のプログラムであって、
前記ポリシ評価装置を、
前記身元情報及び認証要素情報を含まず、且つ前記仮名情報と前記認証サーバ装置の識別情報とを含むアクセス主体情報と、ポリシ生成装置の識別情報とを含むように前記ポリシ生成装置に生成されたアクセス制御ポリシを取得する手段、
前記取得したアクセス制御ポリシのうち、前記仮名情報、前記認証サーバ装置の識別情報、及び前記ポリシ生成装置の識別情報を前記ポリシ評価装置の記憶手段に書き込む手段、
前記記憶手段内のポリシ生成装置の識別情報を含む認証要求を認証サーバ装置に送信する手段、
前記認証要求の送信後、前記認証サーバ装置から提示要求を受信すると、認証要素情報を前記認証サーバ装置に送信する手段、
前記認証要素情報の送信後、当該認証要素情報と前記ポリシ生成装置の識別情報とに対応する仮名情報を前記認証サーバ装置から受信する手段、
前記受信した仮名情報と、前記記憶手段内の仮名情報とを比較する手段、
前記比較の結果、両者が一致したとき、前記取得したアクセス制御ポリシを正当と評価する手段、
として機能させるためのプログラム。
【請求項６】
ポリシ生成装置及びポリシ評価装置に通信可能な認証サーバ装置のプログラムであって、
前記認証サーバ装置を、
アクセス主体者の身元情報及び認証要素情報を含むＩＤ情報を前記認証サーバ装置の記憶手段に書き込む手段、
前記身元情報の一覧取得要求を前記ポリシ生成装置から受信すると、前記記憶手段内の身元情報を前記ポリシ生成装置に送信する手段、
前記送信した身元情報のうち、前記ポリシ生成装置に選択された身元情報と、前記ポリシ生成装置内の当該身元情報を含まない新たなＩＤ情報との連携要求を前記ポリシ生成装置から受信する手段、
前記連携要求に応じて乱数情報からなる仮名情報を生成し、この仮名情報を前記ポリシ生成装置に送信する手段、
前記仮名情報と、前記ポリシ生成装置の識別情報とを含む連携情報を含むように、前記連携要求の身元情報に対応する前記記憶手段内のＩＤ情報を更新する手段、
前記身元情報及び認証要素情報を含まず、且つ前記仮名情報と前記認証サーバ装置の識別情報とを含むアクセス主体情報と、ポリシ生成装置の識別情報とを含むように前記ポリシ生成装置に生成されたアクセス制御ポリシを前記ポリシ評価装置が取得した場合、当該アクセス制御ポリシ内のポリシ生成装置の識別情報を含む認証要求を前記ポリシ評価装置から受信する手段、
前記認証要求に応じて、認証要素情報の提示要求を前記ポリシ評価装置に送信する手段、
前記認証サーバ装置から受信した認証要素情報と、前記記憶手段内の認証要素情報とを比較し、両者が一致したとき、認証処理を成功と判定する認証手段、
前記認証処理を成功と判定した認証要素情報と、前記認証要求内のポリシ生成装置の識別情報とに基づいて、前記記憶手段を検索する手段、
前記検索の結果、該当するＩＤ情報があるとき、このＩＤ情報に含まれる連携情報内の仮名情報を前記ポリシ評価装置に送信する手段、
として機能させるためのプログラム。
【請求項１】
アクセス主体者の身元情報を管理する認証サーバ装置に通信可能であり、いずれかの前記身元情報に対応するアクセス主体情報を含むアクセス制御ポリシを生成するためのポリシ生成装置であって、
前記身元情報の一覧取得要求を前記認証サーバ装置に送信する手段と、
前記認証サーバ装置から受信した身元情報を一覧表示する手段と、
前記一覧表示された身元情報のうち、いずれかの身元情報を選択する手段と、
前記選択された身元情報を含まない識別情報を算出する手段と、
前記算出した識別情報を含み、前記選択された身元情報を含まない新たなＩＤ情報を作成し、当該新たなＩＤ情報を記憶手段に書き込む手段と、
前記選択された身元情報と前記新たなＩＤ情報との連携要求を前記認証サーバ装置に送信する手段と、
前記連携要求の送信に応じて、乱数情報からなる仮名情報を前記認証サーバ装置から受信する手段と、
前記仮名情報と、前記認証サーバ装置の識別情報とを含む連携情報を含むように前記記憶手段内の新たなＩＤ情報を更新する手段と、
前記連携情報内の仮名情報と、前記認証サーバ装置の識別情報とを含み、前記選択された身元情報を含まないアクセス主体情報を作成する手段と、
前記作成したアクセス主体情報を含むアクセス制御ポリシを生成する手段と、
を備えたことを特徴とするポリシ生成装置。
【請求項２】
アクセス主体者の身元情報及び認証要素情報と、乱数情報からなる仮名情報と、ポリシ生成装置の識別情報とを管理する認証サーバ装置に通信可能なポリシ評価装置であって、
前記身元情報及び認証要素情報を含まず、且つ前記仮名情報と前記認証サーバ装置の識別情報とを含むアクセス主体情報と、ポリシ生成装置の識別情報とを含むように前記ポリシ生成装置に生成されたアクセス制御ポリシを取得する手段と、
前記取得したアクセス制御ポリシのうち、前記仮名情報、前記認証サーバ装置の識別情報、及び前記ポリシ生成装置の識別情報を記憶手段に書き込む手段と、
前記記憶手段内のポリシ生成装置の識別情報を含む認証要求を認証サーバ装置に送信する手段と、
前記認証要求の送信後、前記認証サーバ装置から提示要求を受信すると、認証要素情報を前記認証サーバ装置に送信する手段と、
前記認証要素情報の送信後、当該認証要素情報と前記ポリシ生成装置の識別情報とに対応する仮名情報を前記認証サーバ装置から受信する手段と、
前記受信した仮名情報と、前記記憶手段内の仮名情報とを比較する手段と、
前記比較の結果、両者が一致したとき、前記取得したアクセス制御ポリシを正当と評価する手段と、
を備えたことを特徴とするポリシ評価装置。
【請求項３】
ポリシ生成装置及びポリシ評価装置に通信可能な認証サーバ装置であって、
アクセス主体者の身元情報及び認証要素情報を含むＩＤ情報を記憶する記憶手段と、
前記身元情報の一覧取得要求を前記ポリシ生成装置から受信すると、前記記憶手段内の身元情報を前記ポリシ生成装置に送信する手段と、
前記送信した身元情報のうち、前記ポリシ生成装置に選択された身元情報と、前記ポリシ生成装置内の当該身元情報を含まない新たなＩＤ情報との連携要求を前記ポリシ生成装置から受信する手段と、
前記連携要求に応じて乱数情報からなる仮名情報を生成し、この仮名情報を前記ポリシ生成装置に送信する手段と、
前記仮名情報と、前記ポリシ生成装置の識別情報とを含む連携情報を含むように、前記連携要求の身元情報に対応する前記記憶手段内のＩＤ情報を更新する手段と、
前記身元情報及び認証要素情報を含まず、且つ前記仮名情報と前記認証サーバ装置の識別情報とを含むアクセス主体情報と、ポリシ生成装置の識別情報とを含むように前記ポリシ生成装置に生成されたアクセス制御ポリシを前記ポリシ評価装置が取得した場合、当該アクセス制御ポリシ内のポリシ生成装置の識別情報を含む認証要求を前記ポリシ評価装置から受信する手段と、
前記認証要求に応じて、認証要素情報の提示要求を前記ポリシ評価装置に送信する手段と、
前記認証サーバ装置から受信した認証要素情報と、前記記憶手段内の認証要素情報とを比較し、両者が一致したとき、認証処理を成功と判定する認証手段と、
前記認証処理を成功と判定した認証要素情報と、前記認証要求内のポリシ生成装置の識別情報とに基づいて、前記記憶手段を検索する手段と、
前記検索の結果、該当するＩＤ情報があるとき、このＩＤ情報に含まれる連携情報内の仮名情報を前記ポリシ評価装置に送信する手段と、
を備えたことを特徴とする認証サーバ装置。
【請求項４】
アクセス主体者の身元情報を管理する認証サーバ装置に通信可能であり、いずれかの前記身元情報に対応するアクセス主体情報を含むアクセス制御ポリシを生成するためのポリシ生成装置のプログラムであって、
前記ポリシ生成装置を、
前記身元情報の一覧取得要求を前記認証サーバ装置に送信する手段、
前記認証サーバ装置から受信した身元情報を一覧表示する手段、
前記一覧表示された身元情報のうち、いずれかの身元情報を選択する手段、
前記選択された身元情報を含まない識別情報を算出する手段、
前記算出した識別情報を含み、前記選択された身元情報を含まない新たなＩＤ情報を作成し、当該新たなＩＤ情報を前記ポリシ生成装置の記憶手段に書き込む手段、
前記選択された身元情報と前記新たなＩＤ情報との連携要求を前記認証サーバ装置に送信する手段、
前記連携要求の送信に応じて、乱数情報からなる仮名情報を前記認証サーバ装置から受信する手段、
前記仮名情報と、前記認証サーバ装置の識別情報とを含む連携情報を含むように前記記憶手段内の新たなＩＤ情報を更新する手段、
前記連携情報内の仮名情報と、前記認証サーバ装置の識別情報とを含み、前記選択された身元情報を含まないアクセス主体情報を作成する手段、
前記作成したアクセス主体情報を含むアクセス制御ポリシを生成する手段、
として機能させるためのプログラム。
【請求項５】
アクセス主体者の身元情報及び認証要素情報と、乱数情報からなる仮名情報と、ポリシ生成装置の識別情報とを管理する認証サーバ装置に通信可能なポリシ評価装置のプログラムであって、
前記ポリシ評価装置を、
前記身元情報及び認証要素情報を含まず、且つ前記仮名情報と前記認証サーバ装置の識別情報とを含むアクセス主体情報と、ポリシ生成装置の識別情報とを含むように前記ポリシ生成装置に生成されたアクセス制御ポリシを取得する手段、
前記取得したアクセス制御ポリシのうち、前記仮名情報、前記認証サーバ装置の識別情報、及び前記ポリシ生成装置の識別情報を前記ポリシ評価装置の記憶手段に書き込む手段、
前記記憶手段内のポリシ生成装置の識別情報を含む認証要求を認証サーバ装置に送信する手段、
前記認証要求の送信後、前記認証サーバ装置から提示要求を受信すると、認証要素情報を前記認証サーバ装置に送信する手段、
前記認証要素情報の送信後、当該認証要素情報と前記ポリシ生成装置の識別情報とに対応する仮名情報を前記認証サーバ装置から受信する手段、
前記受信した仮名情報と、前記記憶手段内の仮名情報とを比較する手段、
前記比較の結果、両者が一致したとき、前記取得したアクセス制御ポリシを正当と評価する手段、
として機能させるためのプログラム。
【請求項６】
ポリシ生成装置及びポリシ評価装置に通信可能な認証サーバ装置のプログラムであって、
前記認証サーバ装置を、
アクセス主体者の身元情報及び認証要素情報を含むＩＤ情報を前記認証サーバ装置の記憶手段に書き込む手段、
前記身元情報の一覧取得要求を前記ポリシ生成装置から受信すると、前記記憶手段内の身元情報を前記ポリシ生成装置に送信する手段、
前記送信した身元情報のうち、前記ポリシ生成装置に選択された身元情報と、前記ポリシ生成装置内の当該身元情報を含まない新たなＩＤ情報との連携要求を前記ポリシ生成装置から受信する手段、
前記連携要求に応じて乱数情報からなる仮名情報を生成し、この仮名情報を前記ポリシ生成装置に送信する手段、
前記仮名情報と、前記ポリシ生成装置の識別情報とを含む連携情報を含むように、前記連携要求の身元情報に対応する前記記憶手段内のＩＤ情報を更新する手段、
前記身元情報及び認証要素情報を含まず、且つ前記仮名情報と前記認証サーバ装置の識別情報とを含むアクセス主体情報と、ポリシ生成装置の識別情報とを含むように前記ポリシ生成装置に生成されたアクセス制御ポリシを前記ポリシ評価装置が取得した場合、当該アクセス制御ポリシ内のポリシ生成装置の識別情報を含む認証要求を前記ポリシ評価装置から受信する手段、
前記認証要求に応じて、認証要素情報の提示要求を前記ポリシ評価装置に送信する手段、
前記認証サーバ装置から受信した認証要素情報と、前記記憶手段内の認証要素情報とを比較し、両者が一致したとき、認証処理を成功と判定する認証手段、
前記認証処理を成功と判定した認証要素情報と、前記認証要求内のポリシ生成装置の識別情報とに基づいて、前記記憶手段を検索する手段、
前記検索の結果、該当するＩＤ情報があるとき、このＩＤ情報に含まれる連携情報内の仮名情報を前記ポリシ評価装置に送信する手段、
として機能させるためのプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【公開番号】特開２００９−１５１３６１（Ｐ２００９−１５１３６１Ａ）
【公開日】平成２１年７月９日（２００９．７．９）
【国際特許分類】
【出願番号】特願２００７−３２６２０２（Ｐ２００７−３２６２０２）
【出願日】平成１９年１２月１８日（２００７．１２．１８）
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【出願人】（３０１０６３４９６）東芝ソリューション株式会社 (1,478)
【Ｆターム（参考）】
【公開日】平成２１年７月９日（２００９．７．９）
【国際特許分類】
【出願日】平成１９年１２月１８日（２００７．１２．１８）
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【出願人】（３０１０６３４９６）東芝ソリューション株式会社 (1,478)
【Ｆターム（参考）】
[ Back to top ]