リモートアクセス管理システム及び方法
【課題】コンピュータが使用される場所に応じて、ユーザのアクセス権限を設定することのできるリモートアクセス管理システムを提供する。
【解決手段】ユーザ３がドアゲート７を利用して企業の部屋６に入室すると、ユーザ３が所持するＩＣカード８にドアゲート７が保持している所在位置情報が書き込まれる。ユーザ３がコンピュータ１をシンクライアント端末として利用するとき、コンピュータ３は該ＩＣカード３から所在位置情報を読み取り、所在位置情報を含むメッセージを認証サーバ２に送信する。認証サーバ２は、ユーザ３に予め与えられているアクセス権限を参照し、コンピュータ３から受信した所在位置情報に応じてユーザのアクセス権限を設定する。
【解決手段】ユーザ３がドアゲート７を利用して企業の部屋６に入室すると、ユーザ３が所持するＩＣカード８にドアゲート７が保持している所在位置情報が書き込まれる。ユーザ３がコンピュータ１をシンクライアント端末として利用するとき、コンピュータ３は該ＩＣカード３から所在位置情報を読み取り、所在位置情報を含むメッセージを認証サーバ２に送信する。認証サーバ２は、ユーザ３に予め与えられているアクセス権限を参照し、コンピュータ３から受信した所在位置情報に応じてユーザのアクセス権限を設定する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティ管理されたネットワークに配置されたサーバへのリモートアクセスを管理するための技術に関する。
【背景技術】
【０００２】
ネットワーク技術の発展に伴い、企業などにおいては、企業情報の流出や盗難などを防ぐために、クライアントに最小限の機能を持たせ、セキュリティ管理されたネットワークに設置されたサーバ側に、情報資源（アプリケーションやデータファイル）を集中させるシンクライアント（Thin Client)システムが普及しつつある。
【０００３】
シンクライアントシステムを実現するとき、シンクライアント端末として利用するコンピュータのハードディスクや、ユーザが所持する外部記憶デバイス（例えば、ＵＳＢメモリ）に最小限の機能のみを備えたシンクライアント用オペレーティングシステム（OS: Operating System）を記憶させ、該コンピュータ上でシンクライアント用のＯＳを起動させる。
【０００４】
このように、シンクライアント用ＯＳを起動させれば、汎用のコンピュータをシンクライアント端末として利用できるため、シンクライアント端末として利用できるコンピュータは、企業内に設置されているコンピュータのみならず、持出し可能なノート型のコンピュータをもシンクライアント端末として利用可能になる。
【０００５】
しかし、ノート型のコンピュータの場合、ノート型のコンピュータが利用される場所を特定できないため、例えば、ネットカフェや飲食店など企業外でノート型のコンピュータが利用されると、企業とは無関係の第三者に機密情報が漏洩してしまう可能性があるため、シンクライアント端末として機能するコンピュータが使用される場所に応じて、該コンピュータを操作するユーザのアクセス権限を設定することはできない。
【０００６】
シンクライアント端末のアクセス先を管理するための発明としては、例えば、特許文献１において、シンクライアント用ＯＳに加え、シンクライアント端末がアクセス可能なアクセス先（例えば、ＵＲＬ）のリストをハードウェアトークン（例えば、ＵＳＢメモリ）に記憶させ、該リストに記述されたアクセス先以外へのアクセスをシンクライアント端末側で禁止する装置が開示されているが、特許文献１で開示されている内容では、シンクライアント端末として機能するコンピュータが使用される場所に応じて、該コンピュータを操作するユーザのアクセス権限を設定することはできない。
【特許文献１】特開２００８−１６５５４１号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
そこで、本発明は、シンクライアントシステムに代表されるようなリモートアクセスシステムにおいて、リモートアクセスに利用されるコンピュータが使用される場所に応じて、該コンピュータを操作するユーザのアクセス権限を設定することのできるリモートアクセス管理システム及び方法を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上述した課題を解決する第１の発明は、セキュリティ管理されたネットワーク上のリソースへのリモートアクセスを管理するリモートアクセス管理システムであって、前記リモートアクセス管理システムは、前記ネットワーク外に配置され、前記リソースにリモートアクセスするコンピュータと、前記コンピュータのリモートアクセスを管理する認証サーバとから少なくとも構成され、前記コンピュータは、前記コンピュータを操作するユーザの所在位置情報を取得する所在位置情報取得手段と、前記所在位置情報を含む認証要求メッセージを前記認証サーバに送信する認証要求手段を備え、前記認証サーバは、前記所在位置情報に紐付けして前記リソースのアドレスを記憶した所在位置テーブルを参照し、前記認証要求メッセージに含まれる前記所在位置情報にアドレスが紐付けされている前記リソースへのアクセス権限を前記ユーザに設定するリモートアクセス管理手段を備えていることを特徴とするリモートアクセス管理システムである。
【０００９】
上述した第１の発明によれば、前記ユーザの所在位置に応じて前記ユーザのアクセス権限を設定することで、同じ前記ユーザが同じコンピュータを使用する場合であっても、前記ユーザの所在位置に応じて、前記ユーザがアクセスできる前記リソースを限定することができるようになる。
【００１０】
更に、第２の発明は、第１の発明に記載のリモートアクセス管理システムであって、前記リモートアクセス管理システムには、企業内の部屋の出入り口に設けられるドアゲートが含まれ、前記ドアゲートは、前記ユーザの入室時にドアの施錠を解錠するとき、前記ドアゲートが設置された前記部屋を示す前記所在位置情報を前記ユーザが所持するＩＣカードに書き込み、前記ユーザの退室時にドアの施錠を解錠するとき、前記所在位置情報を前記ＩＣカードから削除する施錠制御手段を備え、前記コンピュータに備えられた前記所在位置情報取得手段は、前記ユーザが所持する前記ＩＣカードから前記所在位置情報を読み取る手段であることを特徴とするリモートアクセス管理システムである。
【００１１】
企業のＬＡＮ（Local Area Network）内のリソースへのリモートアクセスを管理するときは、上述した第２の発明のように、前記部屋に設置された前記ドアゲートで前記所在位置情報をＩＣカードに書き込み、前記コンピュータで前記ＩＣカードに記憶された前記所在位置情報を読み取るようにすれば、企業内外も含め、前記ユーザがいる場所を容易に特定でき、前記ユーザがいる場所に応じて、前記ユーザのアクセス権限を設定できるようになる。
【００１２】
更に、第３の発明は、第２の発明に記載のリモートアクセス管理システムであって、前記コンピュータは、前記コンピュータを操作するユーザから少なくともユーザＩＤを取得するユーザ情報取得手段を備え、前記認証要求手段は、前記認証要求メッセージに前記ユーザＩＤを含ませる手段で、前記認証サーバの前記リモートアクセス管理手段は、前記所在位置テーブルに加え、前記ユーザＩＤに紐付けして前記リソースのアドレスを記憶したユーザテーブルを参照し、前記認証要求メッセージに含まれる前記ユーザＩＤにアドレスが紐付けされ、かつ、前記認証要求メッセージに含まれる前記所在位置情報にアドレスが紐付けされた前記リソースへのアクセス権限を前記ユーザに設定する手段であることを特徴とするリモートアクセス管理システムである。
【００１３】
上述した第３の発明のように、前記ユーザに予めアクセス権限が与えられている前記リソースを示す前記ユーザテーブルを前記認証サーバが備えていれば、前記ユーザのアクセス権限の無い前記リソースへのリモートアクセスを防止できる。
【００１４】
更に、第４の発明は、第３の発明に記載のリモートアクセス管理システムであって、前記コンピュータの前記ユーザ情報取得手段は、前記ユーザＩＤに加え、前記ユーザのパスワードを前記ユーザから取得する手段で、前記認証要求手段は、前記認証要求メッセージに前記パスワードを含ませる手段で、前記認証サーバは、前記認証要求メッセージに含まれる前記パスワードを照合する前記ユーザ認証手段を備え、前記ユーザ認証手段が前記パスワードの照合に成功した後に、前記リモートアクセス管理手段が作動することを特徴とするリモートアクセス管理システムである。
【００１５】
上述した第４の発明によれば、前記認証サーバが前記ユーザをユーザ認証することで、なりすまし行為による不正なリモートアクセスを防止できる。
【００１６】
更に、第５の発明は、セキュリティ管理されたネットワーク内のリソースへのリモートアクセスを管理するリモートアクセス管理方法であって、前記ネットワーク外に配置され、前記サーバにリモートアクセスするコンピュータが、前記コンピュータを操作するユーザの所在位置情報を取得するステップａと、前記コンピュータが、前記コンピュータのリモートアクセスを管理する認証サーバに、前記所在位置情報を含む認証要求メッセージを送信するステップｂと、前記認証サーバが、前記所在位置情報に紐付けして前記リソースのアドレスを記憶した所在位置テーブルを参照し、前記認証要求メッセージに含まれる前記所在位置情報にアドレスが紐付けされた前記リソースへのアクセス権限を前記ユーザに設定するステップｃが実行されることを特徴とするリモートアクセス管理方法である。
【００１７】
上述した第５の発明によれば、上述した第１の発明と同様の効果を得ることができる。
【発明の効果】
【００１８】
このように、上述した本発明によれば、シンクライアントシステムに代表されるようなリモートアクセスシステムにおいて、リモートアクセスに利用されるコンピュータが使用される場所に応じて、ユーザのアクセス権限を設定することのできるリモートアクセス管理システム及び方法を提供できる。
【発明を実施するための最良の形態】
【００１９】
ここから、本発明をシンクライアントシステムについて適用した実施形態について、図を参照しながら詳細に説明する。図１は、シンクライアントシステムに適用したときのリモートアクセス管理システムの構成を説明する図である。
【００２０】
本実施形態のリモートアクセス管理システム９は、シンクライアント端末として利用され、ＩＣカードリーダ１７が接続されたノート型のコンピュータ１と、セキュリティ管理されたＬＡＮ５（Loacal Area Network）に接続され、コンピュータ１からＬＡＮ５内のリソースへのリモートアクセスを管理する認証サーバ２とから少なくとも構成され、図１では、ＬＡＮ５内のリソースとして、機密レベルが「０」の情報が記憶されているサーバ５０ａ、機密レベルが「１」の情報が記憶されているサーバであるサーバ５０ｂ、機密レベルが「２」の情報が記憶されているサーバ５０ｃ、機密レベルが「３」の情報が記憶されているサーバ５０ｄを図示し、更に、ＬＡＮ５とインターネット４を区分けするファイヤーオール機器５１を図示している。
【００２１】
また、本実施形態のリモートアクセス管理システム９を利用するユーザ３は、シンクライアント用オペレーティングシステム（OS: Operating System）が記憶されたＵＳＢメモリ１８と、企業内の部屋６（例えば、サテライトオフィス）に設置されたドアゲート７の解錠に利用するＩＣカード８を所持している。
【００２２】
図１のリモートアクセス管理システム９を構成する認証サーバ２は、ＲＡＤＩＵＳ（Radius: Remote Authentication Dial In User Service）プロトコルに対応したＲＡＤＩＵＳサーバなどを利用して実現されるＷｅｂサーバで、ＬＡＮ５外からＬＡＮ５内のリソースにアクセスするユーザ３をユーザ認証する機能と、ユーザ３のアクセス権限を設定する機能と、ＬＡＮ５内のリソースにアクセスしたユーザ３のログを管理する機能などを備える。
【００２３】
図１で図示した認証サーバ２は、ユーザ３に予め与えられているアクセス権限を参照し、ユーザ３の所在位置に応じてユーザのアクセス権限を設定する機能を備え、本実施形態において、ユーザ３の所在位置を示す所在位置情報は、ユーザ３がドアゲート７を利用したときにＩＣカード８に書き込まれる。認証サーバ２は、コンピュータ１から送信される所在位置情報に基づき、企業内外も含め、ユーザ３がいる場所を特定し、ユーザ３に予め与えられているアクセス権限を参照し、ユーザ３がいる場所に応じてユーザ３のアクセス権限を設定する。
【００２４】
ユーザ３がいる場所に応じてユーザ３のアクセス権限を設定することで、図１で言えば、同じユーザ３であっても、ユーザ３が部屋６でコンピュータ１を利用するときはサーバ５０ｂへのリモートアクセスを許可し、ユーザ３がノート型のコンピュータ１を企業外に持ち出し、企業外でコンピュータ１を利用するときはサーバ５０ｂへのリモートアクセスを禁止することができるようになる。
【００２５】
ここから、本発明に係わる方法の説明も兼ねて、図１で図示したリモートアクセス管理システム９で実行される処理について説明する。図２は、リモートアクセス管理システム９で実行される処理の手順を示したフロー図である。
【００２６】
ユーザ３は、ＬＡＮ５外のコンピュータ１を操作してＬＡＮ５内のリソースにリモートアクセスするとき、ユーザ３は、コンピュータ１のＵＳＢポートにＵＳＢメモリ１８を接続させて（図２のＳ１）、ＵＳＢメモリ１８に記憶されたシンクライアント用ＯＳを該コンピュータ１上で起動させ（図２のＳ２）、該コンピュータ１をシンクライアント端末として利用する。
【００２７】
シンクライアント用ＯＳが起動すると、コンピュータ１は、認証サーバ２にアクセス要求を行い（図２のＳ３）、認証サーバ２はコンピュータ１からアクセス要求を受けると、アクセス要求があったコンピュータ１に対して認証要求を行う（図２のＳ４）。
【００２８】
シンクライアント用ＯＳが起動したコンピュータ１は認証サーバ２から認証要求を受けると、認証サーバ２にリモートアクセスする前に、ユーザＩＤ及びパスワードを入力する画面をディスプレイに表示させ、キーボードなどを用いてユーザ３にユーザＩＤ及びパスワードを入力させ、ユーザ３が入力したユーザＩＤ及びパスワードを取得する（図２のＳ５）。
【００２９】
コンピュータ１は、ユーザＩＤ及びパスワードを取得すると、ＬＡＮ５内のリソースへのリモートアクセスにはＩＣカード８が必要であることを示すメッセージをディスプレイに表示させ、ＩＣカードリーダ１７がＩＣカード８を検知すると、ＩＣカード８に対して所在位置情報を読み出すコマンドを送信し、ＩＣカード８に対して所在位置情報の送信要求を行う（図２のＳ６）。
【００３０】
所在位置情報を読み出すコマンドをＩＣカード８が受信すると、ＩＣカード８は所在位置情報をＩＣカードリーダ１７経由でコンピュータ１に送信し（図２のＳ７）、コンピュータ１は、ＩＣカード８から所在位置情報を受信すると、ユーザＩＤ、パスワード及び所在位置情報を含み、所定の型式に準じた認証要求メッセージを認証サーバ２に送信し、認証サーバ２に認証応答する（図２のＳ８）。
【００３１】
なお、コンピュータ１から認証サーバ２に送信する認証要求メッセージには、パスワードなどの機密情報が含まれるため、ＳＳＬ（Secure Sockets Layer）などの技術を利用して、コンピュータ１と認証サーバ２巻の通信を暗号化したり、パスワードのＨａｓｈ値を送信するなど、セキュリティ対策を施しておくとよい。
【００３２】
認証サーバ２は、コンピュータ１から認証要求メッセージを受信すると、まず、認証要求メッセージに含まれるユーザＩＤ及びパスワードを用いて、コンピュータ１を操作するユーザ３をユーザ認証する（図２のＳ９）。
【００３３】
認証サーバ２は、ユーザ３のユーザＩＤに紐付けしてユーザ３のパスワードが記憶し、認証サーバ２は、認証要求メッセージに含まれるユーザＩＤに紐付けられているパスワードと認証要求メッセージに含まれるパスワードを照合することで、ユーザ３をユーザ認証する。
【００３４】
ユーザ認証を実行すると、認証サーバ２は、ユーザ認証の結果に応じて処理を分岐させ（図２のＳ１０）、ユーザ認証に成功するとＬＡＮ５内のリソースへのリモートアクセスを許可する処理を続行し、ユーザ認証に失敗すると、認証サーバ２はＬＡＮ５内のリソースへのアクセス拒否を示すメッセージをコンピュータ１に通知し（図２のＳ１４）、この手順を終了する。
【００３５】
ユーザ認証に成功すると、認証サーバ２は、ユーザ３のアクセス権限を設定する処理とを実行する（図２のＳ１１）。
【００３６】
認証サーバ２は、ユーザ３のアクセス権限を設定する処理を実行するために、ユーザＩＤに紐付けして、ユーザ３にアクセス権限が与えられているリソースのアドレス（例えば、ＩＰアドレス）を記憶したユーザテーブルと、ドアゲート７が保持している所在位置情報に紐付けして、所在位置情報で特定される場所からリモートアクセスできるリソースのアドレスを記憶した所在位置テーブルを備えている。
【００３７】
認証サーバ２は、ユーザ３のアクセス権限を設定する処理を実行するとき、ユーザテーブル及び所在位置テーブルを参照し、認証要求メッセージに含まれるユーザＩＤにアドレスが紐付けられ、かつ、認証要求メッセージに含まれる所在位置情報にアドレスが紐付けられているリソースを抽出し、抽出したリソースへのアクセス権限をユーザ３に設定する。
【００３８】
ユーザ３のアクセス権限を設定すると、認証サーバ２は、認証要求メッセージを送信したコンピュータ１に対して、抽出したリソースのアドレスを含み、ＬＡＮ５へのアクセス許可を示すメッセージを送信する（図２のＳ１２）。
【００３９】
ＬＡＮ５へのアクセス許可が通知されると、コンピュータ１は、認証サーバ２によってリモートアクセスの許可が示されたいずれかのリソースへのリモートアクセスを開始し（図２のＳ１３）、図２で図示した手順は終了する。
【００４０】
図２で図示した手順において、認証サーバ２がユーザ３のアクセス権限の確認に利用する所在位置情報は、部屋６にユーザ３が入室する際に利用するドアゲート７によってＩＣカード８に書き込まれ、ユーザが該部屋６から退室する際に、ドアゲート７によってＩＣカード８から所在位置情報は削除される。
【００４１】
図３は、ユーザ３が部屋６に入退室するときに実行される手順を示したフロー図で、図３（ａ）のフローは、ユーザ３が企業の部屋６に入室するときに実行される手順で、図３（ｂ）のフローは、ユーザ３が企業の部屋６に退室するときに実行される手順である。
【００４２】
まず、図３（ａ）を参照しながら、ユーザ３が企業の部屋６に入室するときに実行される手順について説明する。ユーザ３が企業内の部屋６に入室するとき、該部屋６の入口に設けられたドアゲート７にＩＣカード８を近接させると、ドアゲート７はＩＣカード８を検知する（図３のＳ２０）。
【００４３】
ドアゲート７がＩＣカード８を検知すると、ドアゲート７が保持している所在位置情報を書き込むコマンドをＩＣカード８に送信することで、ＩＣカード８に対して所在位置情報の書き込み要求を行う（図３のＳ２１）。
【００４４】
ＩＣカード８は、所在位置情報を書き込むコマンドを受信すると、該所在位置情報をメモリに書き込み（図３のＳ２２）、書き込みが終了したことを示すメッセージをドアゲート７に返信し、ドアゲート７は該メッセージをＩＣカード８から受信すると、ドアの施錠を解錠する（図３のＳ２３）。
【００４５】
次に、図３（ｂ）を参照しながら、ユーザ３が企業の部屋６に退室するときに実行される手順について説明する。ユーザ３が企業内の部屋６から退室するとき、該部屋６の入口に設けられたドアゲート７にＩＣカード８を近接させると、ドアゲート７はＩＣカード８を検知する（図３のＳ３０）。
【００４６】
ドアゲート７がＩＣカード８を検知すると、ＩＣカード８が保持している所在位置情報を削除するコマンドをＩＣカード８に送信することで、ＩＣカード８に対して所在位置情報の削除要求を行う（図３のＳ３１）。
【００４７】
ＩＣカード８は、所在位置情報を削除するコマンドを受信すると、ＩＣカード８のメモリから所在位置情報を削除し（図３のＳ３２）、削除が終了したことを示すメッセージをドアゲート７に返信し、ドアゲート７は該メッセージをＩＣカード８から受信すると、ドアの施錠を解錠する（図３のＳ３３）。
【００４８】
このように、認証サーバ２が、ユーザ３に予め与えられたアクセス権限を、ユーザ３の所在位置に応じて設定することで、認証サーバ２は、同じユーザ３が同じコンピュータ１を使用したとしても、ユーザ３の所在位置によって、ユーザ３がリモートアクセスできるリソースを変更することができる。
【００４９】
例えば、図１において、認証サーバ２が、部屋６（例えば、サテライトオフィス）に設置されたドアゲート７が保持している所在位置情報に紐付けして、サーバ５０ｂとサーバ５０ａの２つのサーバのアドレスを記憶し、ＩＣカード８に所在位置情報が記憶されていないことを示す情報に紐付けして、サーバ５０ａのアクセス権限を記憶しておけば、サーバ５０ｂとサーバ５０ａの両方のアクセス権限が与えられているユーザ３が、部屋６でノート型のコンピュータ１を使用するときは、サーバ５０ｂとサーバ５０ａへのアクセス権限をユーザ３に設定し、企業外でコンピュータ１を使用するときは、サーバ５０ａのみへのアクセス権限をユーザ３に設定することができる。
【００５０】
ここから、図１で図示したアクセス管理システムを構成するコンピュータ１及び認証サーバ２について、図を参照しながら詳細に説明する。
【００５１】
図４は、コンピュータ１のブロック図で、図４（ａ）はハードウェアブロック図、図４（ｂ）は機能ブロック図である。
【００５２】
図４（ａ）に図示したように、コンピュータ１は汎用的なコンピュータ１で実現され、コンピュータ１はハードウェアとして、ＣＰＵ１０（Central Processing Unit）、ＲＡＭ１１（Random Access Memory）、データ記憶装置であるハードディスク１２、ネットワークインタフェース回路１３、ディスプレイ１４、キーボード１５、ポインティングデバイス１６（例えば、マウス）及びＩＣカードリーダ１７を備えている。
【００５３】
更に、図４（ｂ）に図示したように、本実施形態においては、ＵＳＢメモリ１８に記憶されたシンクライアント用ＯＳがコンピュータ１上で起動することで、コンピュータ１には、図４（ａ）で図示したハードウェアを利用したコンピュータ１プログラムで実現される手段として、図２のＳ３を実行するときに作動するユーザ情報取得手段１００と、図２のＳ４を実行するときに作動する所在位置情報取得手段１０１と、図２のＳ６を実行するときに作動する認証要求手段１０２と、図２のＳ１１を実行するときに作動するリモートアクセス手段１０３を備えている。
【００５４】
コンピュータ１のユーザ情報取得手段１００は、キーボード１５やポィンティングデバイス１６などを利用してユーザ３がコンピュータ１に入力したユーザＩＤ及びパスワードを取得し、ユーザＩＤとパスワードをＲＡＭ１１に格納する処理を実行する手段で、所在位置情報取得手段１０１は、コンピュータ１に接続されたＩＣカードリーダ１７を制御し、ＩＣカードリーダ１７と電気的に接続しているＩＣカード８に記憶された所在位置情報を読み取り、ＩＣカード８から読み取った所在位置情報をＲＡＭ１１に格納する処理を実行する手段である。
【００５５】
更に、コンピュータ１の認証要求手段１０２は、コンピュータ１のＲＡＭ１１に格納されたユーザＩＤ、パスワード及び所在位置情報を含み、所定の型式に準じた認証要求メッセージを認証サーバ２に送信して、認証サーバ２に認証要求する処理を実行する手段で、リモートアクセス手段１０３は、認証サーバ２からアクセス許可を示すメッセージを受信したとき、該メッセージで示されるアドレスで示されるいずれかのリソースにリモートアクセスする処理を実行する手段である。
【００５６】
図５は、認証サーバ２のブロック図で、図５（ａ）はハードウェアブロック図、図５（ｂ）は機能ブロック図である。
【００５７】
図５（ａ）に図示したように、認証サーバ２は汎用的なサーバで実現され、認証サーバ２は、ハードウェアとして、ＣＰＵ２０（Central Processing Unit）、ＲＡＭ２１（Random Access Memory）、データ記憶装置であるハードディスク２２、ネットインタフェース回路２３、ディスプレイ２４、キーボード２５及びポインティングデバイス２６（例えば、マウス）などを備えている。
【００５８】
更に、図５（ｂ）に図示したように、本発明に係わる認証サーバ２として機能するために、認証サーバ２には、図５（ａ）で図示したハードウェアを利用したコンピュータプログラムで実現される手段として、コンピュータ１から送信された認証要求メッセージに含まれるユーザＩＤ及びパスワードを利用してユーザ認証を実行するユーザ認証手段２００と、ユーザ３に予め与えられたアクセス権限を参照し、ユーザ３の所在位置に応じて、ユーザ３のアクセス権限を設定するリモートアクセス管理手段２０１を備えている。
【００５９】
更に、認証サーバ２のハードディスク２２には、データテーブルとして、ユーザ３のユーザＩＤに紐付けして、ユーザ３のパスワード及びユーザ３にアクセス権限が与えられているリソースのアドレスを記憶したユーザテーブル２０２と、ドアゲート７に保持されている所在位置情報に紐付けして、所在位置情報で特定される部屋からリモートアクセスできるリソースを記憶した所在位置テーブル２０３が設けられる。
【００６０】
認証サーバ２に備えられたユーザ認証手段２００は、コンピュータ１から認証要求メッセージを受信すると、該認証要求メッセージに含まれるユーザＩＤに紐付けられたパスワードをユーザテーブル２０２から取得し、該認証要求メッセージに含まれるパスワードとユーザテーブル２０２から取得したパスワードを照合することで、ユーザ認証を実行する。
【００６１】
更に、認証サーバ２のリモートアクセス管理手段２０１は、ユーザ認証手段２００がユーザ認証に成功すると、ユーザテーブル２０２及び所在位置テーブル２０３を参照し、認証要求メッセージに含まれるユーザＩＤにアドレスが紐付けられ、かつ、認証要求メッセージに含まれる所在位置情報にアドレスが紐付けられているリソースを抽出し、抽出したリソースへのアクセス権限をユーザ３に設定した後、抽出したリソースのアドレスを含み、アクセス許可を示すメッセージを、認証要求メッセージを送信したコンピュータ１に送信する手段である。
【００６２】
ここから、本発明の効果について説明する。上述したように、認証サーバ２が、ユーザ３に予め与えられたアクセス権限を参照し、ユーザ３の所在位置に応じてユーザのアクセス権限を決定することで、同じユーザ３が同じコンピュータ１を利用しても、ユーザ３の所在位置に応じて、ユーザ３がリモートアクセスできるＬＡＮ５内のリソースを変更することができるようになる。
【００６３】
図６は、認証サーバ２のハードディスク２２に記憶された所在位置テーブルの一例を示した図である。図６で図示した所在位置テーブルには、所在位置情報１から所在位置情報４の４個の所在位置情報が記憶され、更に、ＩＣカード８に所在位置情報が記憶されていない場合、或いは、ＩＣカードリーダ１７が接続されていないコンピュータ１を利用したときなど、所在位置情報を認証サーバ２が受信しなかったときに利用する情報としてｆａｌｓｅが記憶されている。
【００６４】
所在位置情報１、所在位置情報２、所在位置情報３及び所在位置情報４を記憶しているドアゲート７が設置されている部屋６はそれぞれ、企業のミィーティングルーム、サテライトオフィス、セキュリティルームＡ及びセキュリティルームＢである。
【００６５】
また、図６で図示した所在位置テーブルにはＬＡＮ５内のリソースのアドレスとして、所在位置情報１にサーバ５０ａのアドレスが紐付けられ、所在位置情報２にサーバ５０ａ及びサーバ５０ｂのアドレス、所在位置情報３にサーバ５０ａ、サーバ５０ｂ及びサーバ５０ｃのアドレスが紐付けられ、所在位置情報４にサーバ５０ａ、サーバ５０ｂ及びサーバ５０ｄのアドレスが紐付けられている。
【００６６】
図６で図示した所在位置テーブルに基づけば、企業内のすべてのサーバ５０ａ〜サーバ５０ｄへのアクセス権限が与えられているユーザ３がミィーティングルームに在室しているときはサーバ５０ａにのみアクセス可能で、該ユーザ３がサテライトオフィスに在室しているときはサーバ５０ａ及びサーバ５０ｂにアクセス可能で、該ユーザ３がセキュリティルームＡに在室しているときはサーバ５０ａ、サーバ５０ｂ及びサーバ５０ｃにアクセス可能で、該ユーザ３がセキュリティルームＢに在室しているときはサーバ５０ａ、サーバ５０ｂ及びサーバ５０ｄにアクセス可能にすることができる。
【００６７】
また、ユーザ３がコンピュータ１を社外に持ち出して利用するとき、或いは、ネットカフェに設置されているコンピュータのように、ＩＣカードリーダ１７が接続されていないコンピュータ１を利用する場合は、コンピュータ１はＩＣカード８から所在位置情報を取得することができないため、ユーザ３はサーバ５０ａにのみアクセス可能にすることができる。
【図面の簡単な説明】
【００６８】
【図１】リモートアクセス管理システムの構成を説明する図。
【図２】リモートアクセス管理システムで実行される処理の手順を示したフロー図。
【図３】ユーザが部屋に入退室するときに実行される手順を示したフロー図。
【図４】コンピュータのブロック図。
【図５】認証サーバのブロック図。
【図６】所在位置テーブルの一例を示した図。
【符号の説明】
【００６９】
１ コンピュータ
２ 認証サーバ
３ ユーザ
４ インターネット
５ ＬＡＮ
５０ａ〜５０ｄ ＬＡＮ内に設置されたサーバ
６ 企業の部屋
７ ドアゲート
８ ＩＣカード
９ リモートアクセス管理システム
【技術分野】
【０００１】
本発明は、セキュリティ管理されたネットワークに配置されたサーバへのリモートアクセスを管理するための技術に関する。
【背景技術】
【０００２】
ネットワーク技術の発展に伴い、企業などにおいては、企業情報の流出や盗難などを防ぐために、クライアントに最小限の機能を持たせ、セキュリティ管理されたネットワークに設置されたサーバ側に、情報資源（アプリケーションやデータファイル）を集中させるシンクライアント（Thin Client)システムが普及しつつある。
【０００３】
シンクライアントシステムを実現するとき、シンクライアント端末として利用するコンピュータのハードディスクや、ユーザが所持する外部記憶デバイス（例えば、ＵＳＢメモリ）に最小限の機能のみを備えたシンクライアント用オペレーティングシステム（OS: Operating System）を記憶させ、該コンピュータ上でシンクライアント用のＯＳを起動させる。
【０００４】
このように、シンクライアント用ＯＳを起動させれば、汎用のコンピュータをシンクライアント端末として利用できるため、シンクライアント端末として利用できるコンピュータは、企業内に設置されているコンピュータのみならず、持出し可能なノート型のコンピュータをもシンクライアント端末として利用可能になる。
【０００５】
しかし、ノート型のコンピュータの場合、ノート型のコンピュータが利用される場所を特定できないため、例えば、ネットカフェや飲食店など企業外でノート型のコンピュータが利用されると、企業とは無関係の第三者に機密情報が漏洩してしまう可能性があるため、シンクライアント端末として機能するコンピュータが使用される場所に応じて、該コンピュータを操作するユーザのアクセス権限を設定することはできない。
【０００６】
シンクライアント端末のアクセス先を管理するための発明としては、例えば、特許文献１において、シンクライアント用ＯＳに加え、シンクライアント端末がアクセス可能なアクセス先（例えば、ＵＲＬ）のリストをハードウェアトークン（例えば、ＵＳＢメモリ）に記憶させ、該リストに記述されたアクセス先以外へのアクセスをシンクライアント端末側で禁止する装置が開示されているが、特許文献１で開示されている内容では、シンクライアント端末として機能するコンピュータが使用される場所に応じて、該コンピュータを操作するユーザのアクセス権限を設定することはできない。
【特許文献１】特開２００８−１６５５４１号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
そこで、本発明は、シンクライアントシステムに代表されるようなリモートアクセスシステムにおいて、リモートアクセスに利用されるコンピュータが使用される場所に応じて、該コンピュータを操作するユーザのアクセス権限を設定することのできるリモートアクセス管理システム及び方法を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上述した課題を解決する第１の発明は、セキュリティ管理されたネットワーク上のリソースへのリモートアクセスを管理するリモートアクセス管理システムであって、前記リモートアクセス管理システムは、前記ネットワーク外に配置され、前記リソースにリモートアクセスするコンピュータと、前記コンピュータのリモートアクセスを管理する認証サーバとから少なくとも構成され、前記コンピュータは、前記コンピュータを操作するユーザの所在位置情報を取得する所在位置情報取得手段と、前記所在位置情報を含む認証要求メッセージを前記認証サーバに送信する認証要求手段を備え、前記認証サーバは、前記所在位置情報に紐付けして前記リソースのアドレスを記憶した所在位置テーブルを参照し、前記認証要求メッセージに含まれる前記所在位置情報にアドレスが紐付けされている前記リソースへのアクセス権限を前記ユーザに設定するリモートアクセス管理手段を備えていることを特徴とするリモートアクセス管理システムである。
【０００９】
上述した第１の発明によれば、前記ユーザの所在位置に応じて前記ユーザのアクセス権限を設定することで、同じ前記ユーザが同じコンピュータを使用する場合であっても、前記ユーザの所在位置に応じて、前記ユーザがアクセスできる前記リソースを限定することができるようになる。
【００１０】
更に、第２の発明は、第１の発明に記載のリモートアクセス管理システムであって、前記リモートアクセス管理システムには、企業内の部屋の出入り口に設けられるドアゲートが含まれ、前記ドアゲートは、前記ユーザの入室時にドアの施錠を解錠するとき、前記ドアゲートが設置された前記部屋を示す前記所在位置情報を前記ユーザが所持するＩＣカードに書き込み、前記ユーザの退室時にドアの施錠を解錠するとき、前記所在位置情報を前記ＩＣカードから削除する施錠制御手段を備え、前記コンピュータに備えられた前記所在位置情報取得手段は、前記ユーザが所持する前記ＩＣカードから前記所在位置情報を読み取る手段であることを特徴とするリモートアクセス管理システムである。
【００１１】
企業のＬＡＮ（Local Area Network）内のリソースへのリモートアクセスを管理するときは、上述した第２の発明のように、前記部屋に設置された前記ドアゲートで前記所在位置情報をＩＣカードに書き込み、前記コンピュータで前記ＩＣカードに記憶された前記所在位置情報を読み取るようにすれば、企業内外も含め、前記ユーザがいる場所を容易に特定でき、前記ユーザがいる場所に応じて、前記ユーザのアクセス権限を設定できるようになる。
【００１２】
更に、第３の発明は、第２の発明に記載のリモートアクセス管理システムであって、前記コンピュータは、前記コンピュータを操作するユーザから少なくともユーザＩＤを取得するユーザ情報取得手段を備え、前記認証要求手段は、前記認証要求メッセージに前記ユーザＩＤを含ませる手段で、前記認証サーバの前記リモートアクセス管理手段は、前記所在位置テーブルに加え、前記ユーザＩＤに紐付けして前記リソースのアドレスを記憶したユーザテーブルを参照し、前記認証要求メッセージに含まれる前記ユーザＩＤにアドレスが紐付けされ、かつ、前記認証要求メッセージに含まれる前記所在位置情報にアドレスが紐付けされた前記リソースへのアクセス権限を前記ユーザに設定する手段であることを特徴とするリモートアクセス管理システムである。
【００１３】
上述した第３の発明のように、前記ユーザに予めアクセス権限が与えられている前記リソースを示す前記ユーザテーブルを前記認証サーバが備えていれば、前記ユーザのアクセス権限の無い前記リソースへのリモートアクセスを防止できる。
【００１４】
更に、第４の発明は、第３の発明に記載のリモートアクセス管理システムであって、前記コンピュータの前記ユーザ情報取得手段は、前記ユーザＩＤに加え、前記ユーザのパスワードを前記ユーザから取得する手段で、前記認証要求手段は、前記認証要求メッセージに前記パスワードを含ませる手段で、前記認証サーバは、前記認証要求メッセージに含まれる前記パスワードを照合する前記ユーザ認証手段を備え、前記ユーザ認証手段が前記パスワードの照合に成功した後に、前記リモートアクセス管理手段が作動することを特徴とするリモートアクセス管理システムである。
【００１５】
上述した第４の発明によれば、前記認証サーバが前記ユーザをユーザ認証することで、なりすまし行為による不正なリモートアクセスを防止できる。
【００１６】
更に、第５の発明は、セキュリティ管理されたネットワーク内のリソースへのリモートアクセスを管理するリモートアクセス管理方法であって、前記ネットワーク外に配置され、前記サーバにリモートアクセスするコンピュータが、前記コンピュータを操作するユーザの所在位置情報を取得するステップａと、前記コンピュータが、前記コンピュータのリモートアクセスを管理する認証サーバに、前記所在位置情報を含む認証要求メッセージを送信するステップｂと、前記認証サーバが、前記所在位置情報に紐付けして前記リソースのアドレスを記憶した所在位置テーブルを参照し、前記認証要求メッセージに含まれる前記所在位置情報にアドレスが紐付けされた前記リソースへのアクセス権限を前記ユーザに設定するステップｃが実行されることを特徴とするリモートアクセス管理方法である。
【００１７】
上述した第５の発明によれば、上述した第１の発明と同様の効果を得ることができる。
【発明の効果】
【００１８】
このように、上述した本発明によれば、シンクライアントシステムに代表されるようなリモートアクセスシステムにおいて、リモートアクセスに利用されるコンピュータが使用される場所に応じて、ユーザのアクセス権限を設定することのできるリモートアクセス管理システム及び方法を提供できる。
【発明を実施するための最良の形態】
【００１９】
ここから、本発明をシンクライアントシステムについて適用した実施形態について、図を参照しながら詳細に説明する。図１は、シンクライアントシステムに適用したときのリモートアクセス管理システムの構成を説明する図である。
【００２０】
本実施形態のリモートアクセス管理システム９は、シンクライアント端末として利用され、ＩＣカードリーダ１７が接続されたノート型のコンピュータ１と、セキュリティ管理されたＬＡＮ５（Loacal Area Network）に接続され、コンピュータ１からＬＡＮ５内のリソースへのリモートアクセスを管理する認証サーバ２とから少なくとも構成され、図１では、ＬＡＮ５内のリソースとして、機密レベルが「０」の情報が記憶されているサーバ５０ａ、機密レベルが「１」の情報が記憶されているサーバであるサーバ５０ｂ、機密レベルが「２」の情報が記憶されているサーバ５０ｃ、機密レベルが「３」の情報が記憶されているサーバ５０ｄを図示し、更に、ＬＡＮ５とインターネット４を区分けするファイヤーオール機器５１を図示している。
【００２１】
また、本実施形態のリモートアクセス管理システム９を利用するユーザ３は、シンクライアント用オペレーティングシステム（OS: Operating System）が記憶されたＵＳＢメモリ１８と、企業内の部屋６（例えば、サテライトオフィス）に設置されたドアゲート７の解錠に利用するＩＣカード８を所持している。
【００２２】
図１のリモートアクセス管理システム９を構成する認証サーバ２は、ＲＡＤＩＵＳ（Radius: Remote Authentication Dial In User Service）プロトコルに対応したＲＡＤＩＵＳサーバなどを利用して実現されるＷｅｂサーバで、ＬＡＮ５外からＬＡＮ５内のリソースにアクセスするユーザ３をユーザ認証する機能と、ユーザ３のアクセス権限を設定する機能と、ＬＡＮ５内のリソースにアクセスしたユーザ３のログを管理する機能などを備える。
【００２３】
図１で図示した認証サーバ２は、ユーザ３に予め与えられているアクセス権限を参照し、ユーザ３の所在位置に応じてユーザのアクセス権限を設定する機能を備え、本実施形態において、ユーザ３の所在位置を示す所在位置情報は、ユーザ３がドアゲート７を利用したときにＩＣカード８に書き込まれる。認証サーバ２は、コンピュータ１から送信される所在位置情報に基づき、企業内外も含め、ユーザ３がいる場所を特定し、ユーザ３に予め与えられているアクセス権限を参照し、ユーザ３がいる場所に応じてユーザ３のアクセス権限を設定する。
【００２４】
ユーザ３がいる場所に応じてユーザ３のアクセス権限を設定することで、図１で言えば、同じユーザ３であっても、ユーザ３が部屋６でコンピュータ１を利用するときはサーバ５０ｂへのリモートアクセスを許可し、ユーザ３がノート型のコンピュータ１を企業外に持ち出し、企業外でコンピュータ１を利用するときはサーバ５０ｂへのリモートアクセスを禁止することができるようになる。
【００２５】
ここから、本発明に係わる方法の説明も兼ねて、図１で図示したリモートアクセス管理システム９で実行される処理について説明する。図２は、リモートアクセス管理システム９で実行される処理の手順を示したフロー図である。
【００２６】
ユーザ３は、ＬＡＮ５外のコンピュータ１を操作してＬＡＮ５内のリソースにリモートアクセスするとき、ユーザ３は、コンピュータ１のＵＳＢポートにＵＳＢメモリ１８を接続させて（図２のＳ１）、ＵＳＢメモリ１８に記憶されたシンクライアント用ＯＳを該コンピュータ１上で起動させ（図２のＳ２）、該コンピュータ１をシンクライアント端末として利用する。
【００２７】
シンクライアント用ＯＳが起動すると、コンピュータ１は、認証サーバ２にアクセス要求を行い（図２のＳ３）、認証サーバ２はコンピュータ１からアクセス要求を受けると、アクセス要求があったコンピュータ１に対して認証要求を行う（図２のＳ４）。
【００２８】
シンクライアント用ＯＳが起動したコンピュータ１は認証サーバ２から認証要求を受けると、認証サーバ２にリモートアクセスする前に、ユーザＩＤ及びパスワードを入力する画面をディスプレイに表示させ、キーボードなどを用いてユーザ３にユーザＩＤ及びパスワードを入力させ、ユーザ３が入力したユーザＩＤ及びパスワードを取得する（図２のＳ５）。
【００２９】
コンピュータ１は、ユーザＩＤ及びパスワードを取得すると、ＬＡＮ５内のリソースへのリモートアクセスにはＩＣカード８が必要であることを示すメッセージをディスプレイに表示させ、ＩＣカードリーダ１７がＩＣカード８を検知すると、ＩＣカード８に対して所在位置情報を読み出すコマンドを送信し、ＩＣカード８に対して所在位置情報の送信要求を行う（図２のＳ６）。
【００３０】
所在位置情報を読み出すコマンドをＩＣカード８が受信すると、ＩＣカード８は所在位置情報をＩＣカードリーダ１７経由でコンピュータ１に送信し（図２のＳ７）、コンピュータ１は、ＩＣカード８から所在位置情報を受信すると、ユーザＩＤ、パスワード及び所在位置情報を含み、所定の型式に準じた認証要求メッセージを認証サーバ２に送信し、認証サーバ２に認証応答する（図２のＳ８）。
【００３１】
なお、コンピュータ１から認証サーバ２に送信する認証要求メッセージには、パスワードなどの機密情報が含まれるため、ＳＳＬ（Secure Sockets Layer）などの技術を利用して、コンピュータ１と認証サーバ２巻の通信を暗号化したり、パスワードのＨａｓｈ値を送信するなど、セキュリティ対策を施しておくとよい。
【００３２】
認証サーバ２は、コンピュータ１から認証要求メッセージを受信すると、まず、認証要求メッセージに含まれるユーザＩＤ及びパスワードを用いて、コンピュータ１を操作するユーザ３をユーザ認証する（図２のＳ９）。
【００３３】
認証サーバ２は、ユーザ３のユーザＩＤに紐付けしてユーザ３のパスワードが記憶し、認証サーバ２は、認証要求メッセージに含まれるユーザＩＤに紐付けられているパスワードと認証要求メッセージに含まれるパスワードを照合することで、ユーザ３をユーザ認証する。
【００３４】
ユーザ認証を実行すると、認証サーバ２は、ユーザ認証の結果に応じて処理を分岐させ（図２のＳ１０）、ユーザ認証に成功するとＬＡＮ５内のリソースへのリモートアクセスを許可する処理を続行し、ユーザ認証に失敗すると、認証サーバ２はＬＡＮ５内のリソースへのアクセス拒否を示すメッセージをコンピュータ１に通知し（図２のＳ１４）、この手順を終了する。
【００３５】
ユーザ認証に成功すると、認証サーバ２は、ユーザ３のアクセス権限を設定する処理とを実行する（図２のＳ１１）。
【００３６】
認証サーバ２は、ユーザ３のアクセス権限を設定する処理を実行するために、ユーザＩＤに紐付けして、ユーザ３にアクセス権限が与えられているリソースのアドレス（例えば、ＩＰアドレス）を記憶したユーザテーブルと、ドアゲート７が保持している所在位置情報に紐付けして、所在位置情報で特定される場所からリモートアクセスできるリソースのアドレスを記憶した所在位置テーブルを備えている。
【００３７】
認証サーバ２は、ユーザ３のアクセス権限を設定する処理を実行するとき、ユーザテーブル及び所在位置テーブルを参照し、認証要求メッセージに含まれるユーザＩＤにアドレスが紐付けられ、かつ、認証要求メッセージに含まれる所在位置情報にアドレスが紐付けられているリソースを抽出し、抽出したリソースへのアクセス権限をユーザ３に設定する。
【００３８】
ユーザ３のアクセス権限を設定すると、認証サーバ２は、認証要求メッセージを送信したコンピュータ１に対して、抽出したリソースのアドレスを含み、ＬＡＮ５へのアクセス許可を示すメッセージを送信する（図２のＳ１２）。
【００３９】
ＬＡＮ５へのアクセス許可が通知されると、コンピュータ１は、認証サーバ２によってリモートアクセスの許可が示されたいずれかのリソースへのリモートアクセスを開始し（図２のＳ１３）、図２で図示した手順は終了する。
【００４０】
図２で図示した手順において、認証サーバ２がユーザ３のアクセス権限の確認に利用する所在位置情報は、部屋６にユーザ３が入室する際に利用するドアゲート７によってＩＣカード８に書き込まれ、ユーザが該部屋６から退室する際に、ドアゲート７によってＩＣカード８から所在位置情報は削除される。
【００４１】
図３は、ユーザ３が部屋６に入退室するときに実行される手順を示したフロー図で、図３（ａ）のフローは、ユーザ３が企業の部屋６に入室するときに実行される手順で、図３（ｂ）のフローは、ユーザ３が企業の部屋６に退室するときに実行される手順である。
【００４２】
まず、図３（ａ）を参照しながら、ユーザ３が企業の部屋６に入室するときに実行される手順について説明する。ユーザ３が企業内の部屋６に入室するとき、該部屋６の入口に設けられたドアゲート７にＩＣカード８を近接させると、ドアゲート７はＩＣカード８を検知する（図３のＳ２０）。
【００４３】
ドアゲート７がＩＣカード８を検知すると、ドアゲート７が保持している所在位置情報を書き込むコマンドをＩＣカード８に送信することで、ＩＣカード８に対して所在位置情報の書き込み要求を行う（図３のＳ２１）。
【００４４】
ＩＣカード８は、所在位置情報を書き込むコマンドを受信すると、該所在位置情報をメモリに書き込み（図３のＳ２２）、書き込みが終了したことを示すメッセージをドアゲート７に返信し、ドアゲート７は該メッセージをＩＣカード８から受信すると、ドアの施錠を解錠する（図３のＳ２３）。
【００４５】
次に、図３（ｂ）を参照しながら、ユーザ３が企業の部屋６に退室するときに実行される手順について説明する。ユーザ３が企業内の部屋６から退室するとき、該部屋６の入口に設けられたドアゲート７にＩＣカード８を近接させると、ドアゲート７はＩＣカード８を検知する（図３のＳ３０）。
【００４６】
ドアゲート７がＩＣカード８を検知すると、ＩＣカード８が保持している所在位置情報を削除するコマンドをＩＣカード８に送信することで、ＩＣカード８に対して所在位置情報の削除要求を行う（図３のＳ３１）。
【００４７】
ＩＣカード８は、所在位置情報を削除するコマンドを受信すると、ＩＣカード８のメモリから所在位置情報を削除し（図３のＳ３２）、削除が終了したことを示すメッセージをドアゲート７に返信し、ドアゲート７は該メッセージをＩＣカード８から受信すると、ドアの施錠を解錠する（図３のＳ３３）。
【００４８】
このように、認証サーバ２が、ユーザ３に予め与えられたアクセス権限を、ユーザ３の所在位置に応じて設定することで、認証サーバ２は、同じユーザ３が同じコンピュータ１を使用したとしても、ユーザ３の所在位置によって、ユーザ３がリモートアクセスできるリソースを変更することができる。
【００４９】
例えば、図１において、認証サーバ２が、部屋６（例えば、サテライトオフィス）に設置されたドアゲート７が保持している所在位置情報に紐付けして、サーバ５０ｂとサーバ５０ａの２つのサーバのアドレスを記憶し、ＩＣカード８に所在位置情報が記憶されていないことを示す情報に紐付けして、サーバ５０ａのアクセス権限を記憶しておけば、サーバ５０ｂとサーバ５０ａの両方のアクセス権限が与えられているユーザ３が、部屋６でノート型のコンピュータ１を使用するときは、サーバ５０ｂとサーバ５０ａへのアクセス権限をユーザ３に設定し、企業外でコンピュータ１を使用するときは、サーバ５０ａのみへのアクセス権限をユーザ３に設定することができる。
【００５０】
ここから、図１で図示したアクセス管理システムを構成するコンピュータ１及び認証サーバ２について、図を参照しながら詳細に説明する。
【００５１】
図４は、コンピュータ１のブロック図で、図４（ａ）はハードウェアブロック図、図４（ｂ）は機能ブロック図である。
【００５２】
図４（ａ）に図示したように、コンピュータ１は汎用的なコンピュータ１で実現され、コンピュータ１はハードウェアとして、ＣＰＵ１０（Central Processing Unit）、ＲＡＭ１１（Random Access Memory）、データ記憶装置であるハードディスク１２、ネットワークインタフェース回路１３、ディスプレイ１４、キーボード１５、ポインティングデバイス１６（例えば、マウス）及びＩＣカードリーダ１７を備えている。
【００５３】
更に、図４（ｂ）に図示したように、本実施形態においては、ＵＳＢメモリ１８に記憶されたシンクライアント用ＯＳがコンピュータ１上で起動することで、コンピュータ１には、図４（ａ）で図示したハードウェアを利用したコンピュータ１プログラムで実現される手段として、図２のＳ３を実行するときに作動するユーザ情報取得手段１００と、図２のＳ４を実行するときに作動する所在位置情報取得手段１０１と、図２のＳ６を実行するときに作動する認証要求手段１０２と、図２のＳ１１を実行するときに作動するリモートアクセス手段１０３を備えている。
【００５４】
コンピュータ１のユーザ情報取得手段１００は、キーボード１５やポィンティングデバイス１６などを利用してユーザ３がコンピュータ１に入力したユーザＩＤ及びパスワードを取得し、ユーザＩＤとパスワードをＲＡＭ１１に格納する処理を実行する手段で、所在位置情報取得手段１０１は、コンピュータ１に接続されたＩＣカードリーダ１７を制御し、ＩＣカードリーダ１７と電気的に接続しているＩＣカード８に記憶された所在位置情報を読み取り、ＩＣカード８から読み取った所在位置情報をＲＡＭ１１に格納する処理を実行する手段である。
【００５５】
更に、コンピュータ１の認証要求手段１０２は、コンピュータ１のＲＡＭ１１に格納されたユーザＩＤ、パスワード及び所在位置情報を含み、所定の型式に準じた認証要求メッセージを認証サーバ２に送信して、認証サーバ２に認証要求する処理を実行する手段で、リモートアクセス手段１０３は、認証サーバ２からアクセス許可を示すメッセージを受信したとき、該メッセージで示されるアドレスで示されるいずれかのリソースにリモートアクセスする処理を実行する手段である。
【００５６】
図５は、認証サーバ２のブロック図で、図５（ａ）はハードウェアブロック図、図５（ｂ）は機能ブロック図である。
【００５７】
図５（ａ）に図示したように、認証サーバ２は汎用的なサーバで実現され、認証サーバ２は、ハードウェアとして、ＣＰＵ２０（Central Processing Unit）、ＲＡＭ２１（Random Access Memory）、データ記憶装置であるハードディスク２２、ネットインタフェース回路２３、ディスプレイ２４、キーボード２５及びポインティングデバイス２６（例えば、マウス）などを備えている。
【００５８】
更に、図５（ｂ）に図示したように、本発明に係わる認証サーバ２として機能するために、認証サーバ２には、図５（ａ）で図示したハードウェアを利用したコンピュータプログラムで実現される手段として、コンピュータ１から送信された認証要求メッセージに含まれるユーザＩＤ及びパスワードを利用してユーザ認証を実行するユーザ認証手段２００と、ユーザ３に予め与えられたアクセス権限を参照し、ユーザ３の所在位置に応じて、ユーザ３のアクセス権限を設定するリモートアクセス管理手段２０１を備えている。
【００５９】
更に、認証サーバ２のハードディスク２２には、データテーブルとして、ユーザ３のユーザＩＤに紐付けして、ユーザ３のパスワード及びユーザ３にアクセス権限が与えられているリソースのアドレスを記憶したユーザテーブル２０２と、ドアゲート７に保持されている所在位置情報に紐付けして、所在位置情報で特定される部屋からリモートアクセスできるリソースを記憶した所在位置テーブル２０３が設けられる。
【００６０】
認証サーバ２に備えられたユーザ認証手段２００は、コンピュータ１から認証要求メッセージを受信すると、該認証要求メッセージに含まれるユーザＩＤに紐付けられたパスワードをユーザテーブル２０２から取得し、該認証要求メッセージに含まれるパスワードとユーザテーブル２０２から取得したパスワードを照合することで、ユーザ認証を実行する。
【００６１】
更に、認証サーバ２のリモートアクセス管理手段２０１は、ユーザ認証手段２００がユーザ認証に成功すると、ユーザテーブル２０２及び所在位置テーブル２０３を参照し、認証要求メッセージに含まれるユーザＩＤにアドレスが紐付けられ、かつ、認証要求メッセージに含まれる所在位置情報にアドレスが紐付けられているリソースを抽出し、抽出したリソースへのアクセス権限をユーザ３に設定した後、抽出したリソースのアドレスを含み、アクセス許可を示すメッセージを、認証要求メッセージを送信したコンピュータ１に送信する手段である。
【００６２】
ここから、本発明の効果について説明する。上述したように、認証サーバ２が、ユーザ３に予め与えられたアクセス権限を参照し、ユーザ３の所在位置に応じてユーザのアクセス権限を決定することで、同じユーザ３が同じコンピュータ１を利用しても、ユーザ３の所在位置に応じて、ユーザ３がリモートアクセスできるＬＡＮ５内のリソースを変更することができるようになる。
【００６３】
図６は、認証サーバ２のハードディスク２２に記憶された所在位置テーブルの一例を示した図である。図６で図示した所在位置テーブルには、所在位置情報１から所在位置情報４の４個の所在位置情報が記憶され、更に、ＩＣカード８に所在位置情報が記憶されていない場合、或いは、ＩＣカードリーダ１７が接続されていないコンピュータ１を利用したときなど、所在位置情報を認証サーバ２が受信しなかったときに利用する情報としてｆａｌｓｅが記憶されている。
【００６４】
所在位置情報１、所在位置情報２、所在位置情報３及び所在位置情報４を記憶しているドアゲート７が設置されている部屋６はそれぞれ、企業のミィーティングルーム、サテライトオフィス、セキュリティルームＡ及びセキュリティルームＢである。
【００６５】
また、図６で図示した所在位置テーブルにはＬＡＮ５内のリソースのアドレスとして、所在位置情報１にサーバ５０ａのアドレスが紐付けられ、所在位置情報２にサーバ５０ａ及びサーバ５０ｂのアドレス、所在位置情報３にサーバ５０ａ、サーバ５０ｂ及びサーバ５０ｃのアドレスが紐付けられ、所在位置情報４にサーバ５０ａ、サーバ５０ｂ及びサーバ５０ｄのアドレスが紐付けられている。
【００６６】
図６で図示した所在位置テーブルに基づけば、企業内のすべてのサーバ５０ａ〜サーバ５０ｄへのアクセス権限が与えられているユーザ３がミィーティングルームに在室しているときはサーバ５０ａにのみアクセス可能で、該ユーザ３がサテライトオフィスに在室しているときはサーバ５０ａ及びサーバ５０ｂにアクセス可能で、該ユーザ３がセキュリティルームＡに在室しているときはサーバ５０ａ、サーバ５０ｂ及びサーバ５０ｃにアクセス可能で、該ユーザ３がセキュリティルームＢに在室しているときはサーバ５０ａ、サーバ５０ｂ及びサーバ５０ｄにアクセス可能にすることができる。
【００６７】
また、ユーザ３がコンピュータ１を社外に持ち出して利用するとき、或いは、ネットカフェに設置されているコンピュータのように、ＩＣカードリーダ１７が接続されていないコンピュータ１を利用する場合は、コンピュータ１はＩＣカード８から所在位置情報を取得することができないため、ユーザ３はサーバ５０ａにのみアクセス可能にすることができる。
【図面の簡単な説明】
【００６８】
【図１】リモートアクセス管理システムの構成を説明する図。
【図２】リモートアクセス管理システムで実行される処理の手順を示したフロー図。
【図３】ユーザが部屋に入退室するときに実行される手順を示したフロー図。
【図４】コンピュータのブロック図。
【図５】認証サーバのブロック図。
【図６】所在位置テーブルの一例を示した図。
【符号の説明】
【００６９】
１ コンピュータ
２ 認証サーバ
３ ユーザ
４ インターネット
５ ＬＡＮ
５０ａ〜５０ｄ ＬＡＮ内に設置されたサーバ
６ 企業の部屋
７ ドアゲート
８ ＩＣカード
９ リモートアクセス管理システム
【特許請求の範囲】
【請求項１】
セキュリティ管理されたネットワーク上のリソースへのリモートアクセスを管理するリモートアクセス管理システムであって、前記リモートアクセス管理システムは、前記ネットワーク外に配置され、前記リソースにリモートアクセスするコンピュータと、前記コンピュータのリモートアクセスを管理する認証サーバとから少なくとも構成され、前記コンピュータは、前記コンピュータを操作するユーザの所在位置情報を取得する所在位置情報取得手段と、前記所在位置情報を含む認証要求メッセージを前記認証サーバに送信する認証要求手段を備え、前記認証サーバは、前記所在位置情報に紐付けして前記リソースのアドレスを記憶した所在位置テーブルを参照し、前記認証要求メッセージに含まれる前記所在位置情報にアドレスが紐付けされている前記リソースへのアクセス権限を前記ユーザに設定するリモートアクセス管理手段を備えていることを特徴とするリモートアクセス管理システム。
【請求項２】
請求項１に記載のリモートアクセス管理システムであって、前記リモートアクセス管理システムには、企業内の部屋の出入り口に設けられるドアゲートが含まれ、前記ドアゲートは、前記ユーザの入室時にドアの施錠を解錠するとき、前記ドアゲートが設置された前記部屋を示す前記所在位置情報を前記ユーザが所持するＩＣカードに書き込み、前記ユーザの退室時にドアの施錠を解錠するとき、前記所在位置情報を前記ＩＣカードから削除する施錠制御手段を備え、前記コンピュータに備えられた前記所在位置情報取得手段は、前記ユーザが所持する前記ＩＣカードから前記所在位置情報を読み取る手段であることを特徴とするリモートアクセス管理システム。
【請求項３】
請求項２に記載のリモートアクセス管理システムであって、前記コンピュータは、前記コンピュータを操作するユーザから少なくともユーザＩＤを取得するユーザ情報取得手段を備え、前記認証要求手段は、前記認証要求メッセージに前記ユーザＩＤを含ませる手段で、前記認証サーバの前記リモートアクセス管理手段は、前記所在位置テーブルに加え、前記ユーザＩＤに紐付けして前記リソースのアドレスを記憶したユーザテーブルを参照し、前記認証要求メッセージに含まれる前記ユーザＩＤにアドレスが紐付けされ、かつ、前記認証要求メッセージに含まれる前記所在位置情報にアドレスが紐付けされた前記リソースへのアクセス権限を前記ユーザに設定する手段であることを特徴とするリモートアクセス管理システム。
【請求項４】
請求項３に記載のリモートアクセス管理システムであって、前記コンピュータの前記ユーザ情報取得手段は、前記ユーザＩＤに加え、前記ユーザのパスワードを前記ユーザから取得する手段で、前記認証要求手段は、前記認証要求メッセージに前記パスワードを含ませる手段で、前記認証サーバは、前記認証要求メッセージに含まれる前記パスワードを照合する前記ユーザ認証手段を備え、前記ユーザ認証手段が前記パスワードの照合に成功した後に、前記リモートアクセス管理手段が作動することを特徴とするリモートアクセス管理システム。
【請求項５】
セキュリティ管理されたネットワーク内のリソースへのリモートアクセスを管理するリモートアクセス管理方法であって、前記ネットワーク外に配置され、前記サーバにリモートアクセスするコンピュータが、前記コンピュータを操作するユーザの所在位置情報を取得するステップａと、前記コンピュータが、前記コンピュータのリモートアクセスを管理する認証サーバに、前記所在位置情報を含む認証要求メッセージを送信するステップｂと、前記認証サーバが、前記所在位置情報に紐付けして前記リソースのアドレスを記憶した所在位置テーブルを参照し、前記認証要求メッセージに含まれる前記所在位置情報にアドレスが紐付けされた前記リソースへのアクセス権限を前記ユーザに設定するステップｃが実行されることを特徴とするリモートアクセス管理方法。
【請求項１】
セキュリティ管理されたネットワーク上のリソースへのリモートアクセスを管理するリモートアクセス管理システムであって、前記リモートアクセス管理システムは、前記ネットワーク外に配置され、前記リソースにリモートアクセスするコンピュータと、前記コンピュータのリモートアクセスを管理する認証サーバとから少なくとも構成され、前記コンピュータは、前記コンピュータを操作するユーザの所在位置情報を取得する所在位置情報取得手段と、前記所在位置情報を含む認証要求メッセージを前記認証サーバに送信する認証要求手段を備え、前記認証サーバは、前記所在位置情報に紐付けして前記リソースのアドレスを記憶した所在位置テーブルを参照し、前記認証要求メッセージに含まれる前記所在位置情報にアドレスが紐付けされている前記リソースへのアクセス権限を前記ユーザに設定するリモートアクセス管理手段を備えていることを特徴とするリモートアクセス管理システム。
【請求項２】
請求項１に記載のリモートアクセス管理システムであって、前記リモートアクセス管理システムには、企業内の部屋の出入り口に設けられるドアゲートが含まれ、前記ドアゲートは、前記ユーザの入室時にドアの施錠を解錠するとき、前記ドアゲートが設置された前記部屋を示す前記所在位置情報を前記ユーザが所持するＩＣカードに書き込み、前記ユーザの退室時にドアの施錠を解錠するとき、前記所在位置情報を前記ＩＣカードから削除する施錠制御手段を備え、前記コンピュータに備えられた前記所在位置情報取得手段は、前記ユーザが所持する前記ＩＣカードから前記所在位置情報を読み取る手段であることを特徴とするリモートアクセス管理システム。
【請求項３】
請求項２に記載のリモートアクセス管理システムであって、前記コンピュータは、前記コンピュータを操作するユーザから少なくともユーザＩＤを取得するユーザ情報取得手段を備え、前記認証要求手段は、前記認証要求メッセージに前記ユーザＩＤを含ませる手段で、前記認証サーバの前記リモートアクセス管理手段は、前記所在位置テーブルに加え、前記ユーザＩＤに紐付けして前記リソースのアドレスを記憶したユーザテーブルを参照し、前記認証要求メッセージに含まれる前記ユーザＩＤにアドレスが紐付けされ、かつ、前記認証要求メッセージに含まれる前記所在位置情報にアドレスが紐付けされた前記リソースへのアクセス権限を前記ユーザに設定する手段であることを特徴とするリモートアクセス管理システム。
【請求項４】
請求項３に記載のリモートアクセス管理システムであって、前記コンピュータの前記ユーザ情報取得手段は、前記ユーザＩＤに加え、前記ユーザのパスワードを前記ユーザから取得する手段で、前記認証要求手段は、前記認証要求メッセージに前記パスワードを含ませる手段で、前記認証サーバは、前記認証要求メッセージに含まれる前記パスワードを照合する前記ユーザ認証手段を備え、前記ユーザ認証手段が前記パスワードの照合に成功した後に、前記リモートアクセス管理手段が作動することを特徴とするリモートアクセス管理システム。
【請求項５】
セキュリティ管理されたネットワーク内のリソースへのリモートアクセスを管理するリモートアクセス管理方法であって、前記ネットワーク外に配置され、前記サーバにリモートアクセスするコンピュータが、前記コンピュータを操作するユーザの所在位置情報を取得するステップａと、前記コンピュータが、前記コンピュータのリモートアクセスを管理する認証サーバに、前記所在位置情報を含む認証要求メッセージを送信するステップｂと、前記認証サーバが、前記所在位置情報に紐付けして前記リソースのアドレスを記憶した所在位置テーブルを参照し、前記認証要求メッセージに含まれる前記所在位置情報にアドレスが紐付けされた前記リソースへのアクセス権限を前記ユーザに設定するステップｃが実行されることを特徴とするリモートアクセス管理方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図２】
【図３】
【図４】
【図５】
【図６】
【公開番号】特開２０１０−９７５１０（Ｐ２０１０−９７５１０Ａ）
【公開日】平成２２年４月３０日（２０１０．４．３０）
【国際特許分類】
【出願番号】特願２００８−２６９１３９（Ｐ２００８−２６９１３９）
【出願日】平成２０年１０月１７日（２００８．１０．１７）
【出願人】（０００００２８９７）大日本印刷株式会社 (14,506)
【Ｆターム（参考）】
【公開日】平成２２年４月３０日（２０１０．４．３０）
【国際特許分類】
【出願日】平成２０年１０月１７日（２００８．１０．１７）
【出願人】（０００００２８９７）大日本印刷株式会社 (14,506)
【Ｆターム（参考）】
[ Back to top ]