動的アクセスコントロールを用いるポリシーの生成
【課題】動的アクセスコントロールを用いてポリシーを生成しかつ修正するためのシステムおよび方法を提供すること。
【解決手段】データベースまたはウェブサービスのようなデータソースにリンクされる１つ以上の動的アクセスコントロールを含むポリシーを用いて、電子ドキュメントまたはハードウェア部品のような資産へのアクセスを動的に管理するための方法およびシステム。アクセスコントロールは、毎回、ポリシーが発動されるゆえに、動的であり、ポリシーおよびその構成要素アクセスコントロールは、リンクされたデータソースの現在の情報に対して評価されなければならない。
【解決手段】データベースまたはウェブサービスのようなデータソースにリンクされる１つ以上の動的アクセスコントロールを含むポリシーを用いて、電子ドキュメントまたはハードウェア部品のような資産へのアクセスを動的に管理するための方法およびシステム。アクセスコントロールは、毎回、ポリシーが発動されるゆえに、動的であり、ポリシーおよびその構成要素アクセスコントロールは、リンクされたデータソースの現在の情報に対して評価されなければならない。
【発明の詳細な説明】
【技術分野】
【０００１】
（連邦政府支援の研究に関する声明）
本発明は、米国国土安全保障省によって与えられた契約番号ＦＡ８７５０−０８−Ｃ−０１１４の下に政府支援でなされた。政府は、本発明に一定の権利を有する。
【背景技術】
【０００２】
（本発明の背景）
任意の所与の企業において、資産が存在し、これらの資産は、さまざまな理由のために、例えば、資産にアクセスし得る従業員の数およびタイプを制限するために、または資産の使用量を制限するために、安全にされることが望まれる。例えば、従来のコンピュータネットワークは、アクセスコントロール設定または許可を提供して、さまざまな資産へのユーザーアクセスの範囲およびタイプが事前に設定されることによって電子ファイルのような資産に対してセキュリティを提供し得る。例えば、会社において、あるユーザー、特定の電子ドキュメントに対して読み取り専用の特権を有し得、他のユーザーは、読み取り／書き込み特権を有し得、その一方で、なおそれ以外のユーザーは、アクセス特権を全く有しない場合がある。
【発明の概要】
【発明が解決しようとする課題】
【０００３】
これらのアクセスコントロール設定は、ロールベースアクセスコントロール（ＲＢＡＣ）によって管理され得、その場合、資産にアクセスしたいユーザーが、資産にアクセスすることを許可されるロールのメンバーでなければならない。ロールベースアクセスコントロールの使用は、大体において静的であり、すなわち、管理者がユーザーまたはユーザーのグループをロールに直接にマッピングすることによってロールを定義し、そしてユーザーをロールに加えまたは取り除くためにロールまたはグループの定義を編集しなければならない。所定のロールメンバーシップの静的性質に起因して、変化に速く適応する能力は、やや妨げられる。
【課題を解決するための手段】
【０００４】
従って、本発明の実施形態は、動的アクセスコントロールを用いてポリシーを生成しかつ修正するためのシステムおよび方法を提供する。実施形態は、資産へのアクセスを動的に管理するための方法を提供し、方法が、資産にアクセスするためのユーザーリクエストを受信することと、ユーザーリクエストを受信するのに応答して、資産に関連するアクセスコントロールポリシーを記憶エリアから検索することであって、アクセスコントロールポリシーが、１つ以上のアクセスコントロールと、互いに対して１つ以上のアクセスコントロールの論理関係を明記する論理ステートメントとを含み、各アクセスコントロールが、属性に対する１つ以上の明記されたオプションを含み、属性に対する値を含むデータソースにリンクされる、ことと、論理ステートメントを構文解析し、論理ステートメントの各アクセスコントロールに対して、アクセスコントロールが真かまたは真でない結果を有するのを決定することと、論理関係に従って、論理ステートメントの各アクセスコントロールに対する真または真でない結果を処理することによって論理ステートメントの真または真でないことを評価することと、ユーザーが資産にアクセスするのを許可されるか否かを決定することであって、論理ステートメントが真である場合、ユーザーがアクセスを許可され、論理ステートメントが真でない場合、ユーザーがアクセスを拒絶される、こととを含む。方法は、リンクされたデータソースに接続することと、属性に対する値をデータソースから検索することと、検索された値をアクセスコントロールの１つ以上の明記されたオプションと比較することであって、もし検索された値が明記されたオプションのうちの１つ以上にマッチするなら、アクセスコントロールの結果が真であり、もし検索された値が明記されたオプションのうちの１つ以上にマッチしないなら、アクセスコントロールの結果が真でない、こととによって、アクセスコントロールが真かまたは真でない結果を有するのを決定する。
【０００５】
もう１つの実施形態は、資産へのアクセスを動的に管理するためのシステムを提供し、システムが、クライアントとアクセスコントロールプロセスと含む。クライアントは、資産へのアクセスをリクエストするアクセスコントロールリクエストを送信し、アクセス決定を受信し、受信されたアクセス決定に基づいて資産へのアクセスを認めまたは拒絶するためにユーザーによる使用可能である。アクセスコントロールプロセスは、アクセスコントロールリクエストをクライアントから受信することと、アクセスコントロールリクエストを受信するのに応答して、資産に関連するアクセスコントロールポリシーを記憶エリアから検索することであって、アクセスコントロールポリシーが、１つ以上のアクセスコントロールと、互いに対して１つ以上のアクセスコントロールの論理関係を明記する論理ステートメントとを含み、各アクセスコントロールが、属性に対する１つ以上の明記されたオプションを含み、属性に対する値を含むデータソースにリンクされる、ことと、論理ステートメントを構文解析し、論理ステートメントの各アクセスコントロールに対して、アクセスコントロールが真かまたは真でない結果を有するのを決定することと、論理関係に従って、論理ステートメントの各アクセスコントロールに対する真または真でない結果を処理することによって論理ステートメントの真または真でないことを評価することと、アクセス決定を生成することであって、論理ステートメントが真である場合、アクセス決定が、ユーザーがアクセスを認められることを明記し、論理ステートメントが真でない場合、アクセス決定が、ユーザーがアクセスを拒絶されること明記する、ことと、アクセス決定をクライアントに送信することとによって、アクセスコントロールリクエストを処理するように構成される。アクセスコントロールプロセスは、リンクされたデータソースに接続することと、属性に対する値をデータソースから検索することと、検索された値をアクセスコントロールの１つ以上の明記されたオプションと比較することであって、もし検索された値が明記されたオプションのうちの１つ以上にマッチするなら、アクセスコントロールの結果が真であり、もし検索された値が明記されたオプションのうちの１つ以上にマッチしないなら、アクセスコントロールの結果が真でない、こととによって、アクセスコントロールが真かまたは真でない結果を有するのを決定する。
【０００６】
本発明の実施形態の上述およびなおさらなる特徴および利点は、以下のその詳細な記述に考慮して明白になり、特に添付の図面に関連して解釈されるとき、さまざまな図面の同様の参照数字が、同様の構成要素を明示するために利用される。
【０００７】
本発明は、例えば、以下を提供する。
【０００８】
（項目１） 資産へのアクセスを動的に管理するための方法であって、該方法は、
資産にアクセスするためのユーザーリクエストを受信することと、
該ユーザーリクエストを受信するのに応答して、該資産に関連するアクセスコントロールポリシーを記憶エリアから検索することであって、該アクセスコントロールポリシーが、１つ以上のアクセスコントロールと、互いに対して該１つ以上のアクセスコントロールの論理関係を明記する論理ステートメントとを含み、各アクセスコントロールが、属性に対する１つ以上の明記されたオプションを含み、該属性に対する値を含むデータソースにリンクされる、ことと、
該論理ステートメントを構文解析し、該論理ステートメントの各アクセスコントロールに対して、該アクセスコントロールが真かまたは真でない結果を有するのを決定することであって、該決定することが、
該リンクされたデータソースに接続することと、
該属性に対する該値を該データソースから検索することと、
該検索された値を該アクセスコントロールの該１つ以上の明記されたオプションと比較することであって、もし該検索された値が該明記されたオプションのうちの１つ以上にマッチするなら、該アクセスコントロールの結果が真であり、もし該検索された値が該明記されたオプションのうちの１つ以上にマッチしないなら、該アクセスコントロールの結果が真でない、ことと
によって行われる、ことと、
該論理関係に従って、該論理ステートメントの各アクセスコントロールに対する該真または真でない結果を処理することによって該論理ステートメントの真または真でないことを評価することと、
該ユーザーが該資産にアクセスするのを許可されるか否かを決定することであって、該論理ステートメントが真である場合、該ユーザーがアクセスを許可され、該論理ステートメントが真でない場合、該ユーザーがアクセスを拒絶される、ことと
を含む、方法。
（項目２） 上記項目に記載の方法であって、任意のアクセスコントロールに対して、上記リンクされたデータソースへの接続が作られ得ない場合、該アクセスコントロールに対する上記真または真でない結果を真でないことに設定することをさらに含む、方法。
（項目３） 上記資産にアクセスするための上記ユーザーリクエストは、１つ以上の許可を該資産に行使するためのリクエストを含み、各許可は、該資産にまたは該資産を用いて行われ得る動作を明記する、上記項目のいずれかに記載の方法。
（項目４） 上記項目のいずれかに記載の方法であって、
上記アクセスコントロールポリシーを生成しまたは修正するためのリクエストを受信することと、
該リクエストを受信するのに応答して、該アクセスコントロールポリシーがなお存在しない場合、それを生成し、または該アクセスコントロールポリシーが既に存在する場合、それを上記記憶エリアから検索することと、
アクセスが該アクセスコントロールポリシーによってコントロールされるべき１つ以上の資産を選択することと、
該アクセスコントロールポリシーに含むように１つ以上のアクセスコントロールを選択することと、
該１つ以上のアクセスコントロールの上記論理関係を明記する上記論理ステートメントを編集することと、
該選択されたアクセスコントロールおよび該編集された論理ステートメントを含む該アクセスコントロールポリシーを該記憶エリアに保存することと
を含む、方法。
（項目５） 上記１つ以上の資産は、１つ以上の許可に関連し、各許可は、該資産のうちの１つにまたは該１つを用いて行われ得る動作を明記し、上記方法は、上記アクセスコントロールポリシーの含まれるものに対する該資産に関連する該許可のうちの１つ以上を選択することをさらに含み、選択された許可を該資産に行使するためのユーザーリクエストは、該アクセスコントロールポリシーの上記検索をトリガーする、上記項目のいずれかに記載の方法。
（項目６） 上記項目のいずれかに記載の方法であって、
上記１つ以上のアクセスコントロールのうちの１つを生成しまたは修正するためのリクエストを受信することと、
該リクエストを受信するのに応答して、該アクセスコントロールがなお存在しない場合、それを生成し、または該アクセスコントロールが既に存在する場合、それを上記記憶エリアから検索することと、
該アクセスコントロールにリンクされるべき１つ以上のデータソースを選択することであって、各データソースが、１つ以上の属性の各々に対する値を含み、各データソースの各属性が、同じまたは別のデータソースの各属性と異なるかもしれない、ことと、
各データソースに対して、該アクセスコントロールに含むように属性を１つ以上の属性から選択し、該アクセスコントロール内に該選択された属性に対する１つ以上のオプションを明記することと、
該アクセスコントロールを該記憶エリアに保存することと
を含む、方法。
（項目７） 上記項目のいずれかに記載の方法であって、各データソースに対して、上記データソースとそのリンクされたアクセスコントロールとの間の接続を、該データソースに対する位置情報を該リンクされたアクセスコントロールに入力することによって構成することをさらに含む、方法。
（項目８） 上記データソースは、データベースであり、該データベースのうち少なくとも１つの属性は、テーブルである、上記項目のいずれかに記載の方法。
（項目９） 上記データソースは、ウェブサービスである、上記項目のいずれかに記載の方法。
（項目１０） 上記資産は、電子ドキュメントである、上記項目のいずれかに記載の方法。
（項目１１） 資産へのアクセスを動的に管理するためのシステムであって、該システムは、
ユーザーによる使用可能なクライアントであって、該クライアントが、
資産へのアクセスをリクエストするアクセスコントロールリクエストを送信することと、
アクセス決定を受信することと、
該受信されたアクセス決定に基づいて該資産へのアクセスを認めまたは拒絶することと
を行うためである、クライアントと、
該アクセスコントロールリクエストを処理するように構成されるアクセスコントロールプロセスであって、該処理することが、
該アクセスコントロールリクエストを該クライアントから受信することと、
該アクセスコントロールリクエストを受信するのに応答して、該資産に関連するアクセスコントロールポリシーを記憶エリアから検索することであって、該アクセスコントロールポリシーが、１つ以上のアクセスコントロールと、互いに対して該１つ以上のアクセスコントロールの論理関係を明記する論理ステートメントとを含み、各アクセスコントロールが、属性に対する１つ以上の明記されたオプションを含み、該属性に対する値を含むデータソースにリンクされる、ことと、
該論理ステートメントを構文解析し、該論理ステートメントの各アクセスコントロールに対して、該アクセスコントロールが真かまたは真でない結果を有するのを決定することであって、該決定することが、
該リンクされたデータソースに接続することと、
該属性に対する該値を該データソースから検索することと、
該検索された値を該アクセスコントロールの該１つ以上の明記されたオプションと比較することであって、もし該検索された値が該明記されたオプションのうちの１つ以上にマッチするなら、該アクセスコントロールの結果が真であり、もし該検索された値が該明記されたオプションのうちの１つ以上にマッチしないなら、該アクセスコントロールの結果が真でない、ことと
によって行われる、ことと、
該論理関係に従って、該論理ステートメントの各アクセスコントロールに対する該真または真でない結果を処理することによって該論理ステートメントの真または真でないことを評価することと、
該アクセス決定を生成することであって、該論理ステートメントが真である場合、該アクセス決定が、該ユーザーがアクセスを認められることを明記し、該論理ステートメントが真でない場合、該アクセス決定が、該ユーザーがアクセスを拒絶されること明記する、ことと、
該アクセス決定を該クライアントに送信することと
によって行われる、アクセスコントロールプロセスと
を含む、システム。
（項目１２） 資産へのアクセスを動的に管理するためのプログラムを格納したコンピュータ読み取り可能な格納媒体であって、該プログラムは、
資産へのアクセスをリクエストするアクセスコントロールリクエストを送信することと、
アクセス決定を受信することと、
該受信されたアクセス決定に基づいて該資産へのアクセスを認めまたは拒絶することと
を行うようにユーザーによって動作可能なクライアントと、
該アクセスコントロールリクエストを処理するように構成されるアクセスコントロールプロセスであって、該処理することが、
該アクセスコントロールリクエストを該クライアントから受信することと、
該アクセスコントロールリクエストを受信するのに応答して、該資産に関連するアクセスコントロールポリシーを記憶エリアから検索することであって、該アクセスコントロールポリシーが、１つ以上のアクセスコントロールと、互いに対して該１つ以上のアクセスコントロールの論理関係を明記する論理ステートメントとを含み、各アクセスコントロールが、属性に対する１つ以上の明記されたオプションを含み、該属性に対する値を含むデータソースにリンクされる、ことと、
該論理ステートメントを構文解析し、該論理ステートメントの各アクセスコントロールに対して、該アクセスコントロールが真かまたは真でない結果を有するのを決定することであって、該決定することが、
該リンクされたデータソースに接続することと、
該属性に対する該値を該データソースから検索することと、
該検索された値を該アクセスコントロールの該１つ以上の明記されたオプションと比較することであって、もし該検索された値が該明記されたオプションのうちの１つ以上にマッチするなら、該アクセスコントロールの結果が真であり、もし該検索された値が該明記されたオプションのうちの１つ以上にマッチしないなら、該アクセスコントロールの結果が真でない、ことと
によって行われる、ことと、
該論理関係に従って、該論理ステートメントの各アクセスコントロールに対する該真または真でない結果を処理することによって該論理ステートメントの真または真でないことを評価することと、
該アクセス決定を生成することであって、該論理ステートメントが真である場合、該アクセス決定が、該ユーザーがアクセスを認められることを明記し、該論理ステートメントが真でない場合、該アクセス決定が、該ユーザーがアクセスを拒絶されること明記する、ことと、
該アクセス決定を該クライアントに送信することと
によって行われる、アクセスコントロールプロセスと
として該コンピュータを動作させる、媒体。
（項目１２Ａ） 上記システムは、有形記憶媒体上に格納されるコンピュータプログラム製品である、上記項目のいずれかに記載のシステム。
（項目１３） 上記アクセスコントロールプロセスは、上記アクセスコントロールリクエストを処理するための論理を用いて構成されるプロセッサーによってインプリメントされる、上記項目のいずれかに記載のシステム。
（項目１４） 上記資産にアクセスするための上記ユーザーリクエストは、１つ以上の許可を該資産に行使するためのリクエストを含み、各許可は、該資産にまたは該資産を用いて行われ得る動作を明記する、上記項目のいずれかに記載のシステム。
（項目１５） 上記項目のいずれかに記載のシステムであって、
ユーザーによる使用可能な管理者クライアントをさらに含み、該クライアントが、
上記アクセスコントロールポリシーを生成しまたは修正するためのリクエストを上記アクセスコントロールプロセスに送信することと、
ポリシーオプションのセットを該アクセスコントロールプロセスから受信することと、
１つ以上のポリシーオプションを該受信されたポリシーオプションのセットから選択することと、
上記論理ステートメントを編集することと、
該選択されたポリシーオプションおよび該論理ステートメントを該アクセスコントロールプロセスに送信することと
を行うためであり、
該アクセスコントロールプロセスが、該アクセスコントロールポリシーを生成しまたは修正するようにさらに構成され、該生成しまたは修正することが、
該アクセスコントロールポリシーを生成しまたは修正するための該リクエストを該クライアントから受信することと、
該リクエストを受信するのに応答して、該アクセスコントロールポリシーがなお存在しない場合、それを生成し、または該アクセスコントロールポリシーが既に存在する場合、それを上記記憶エリアから検索することと、
ポリシーオプションのセットを該クライアントに送信することであって、該ポリシーオプションが、アクセスがアクセスコントロールポリシーによってコントロールされ得る１つ以上の資産の資産リストと、該アクセスコントロールポリシーに含まれ得る１つ以上のアクセスコントロールのアクセスコントロールリストとを含む、ことと、
該選択されたポリシーオプションおよび該編集された論理ステートメントを該クライアントから受信することであって、該選択されたポリシーオプションが、１つ以上の資産の該リストからの１つ以上の選択された資産と、該アクセスコントロールリストからの１つ以上の選択されたアクセスコントロールとを含む、ことと、
該受信されたポリシーオプションおよび該編集された論理ステートメントを含む該アクセスコントロールポリシーを該記憶エリアに保存することと
によって行われる、システム。
（項目１６） 上記項目のいずれかに記載のシステムであって、
ユーザーによる使用可能な管理クライアントをさらに含み、該管理クライアントが、
上記アクセスコントロールのうちの１つを生成しまたは修正するためのリクエストを上記アクセスコントロールプロセスに送信することと、
コントロールオプションのセットを該アクセスコントロールプロセスから受信することと、
１つ以上のコントロールオプションを該受信されたコントロールオプションのセットから選択することと、
該選択されたコントロールオプションを該アクセスコントロールプロセスに送信することと
を行うためであり、
該アクセスコントロールプロセスが、該アクセスコントロールを生成しまたは修正するようにさらに構成され、該生成しまたは修正することが、
該アクセスコントロールを生成しまたは修正するための該リクエストを該クライアントから受信することと、
該リクエストを受信するのに応答して、該アクセスコントロールがなお存在しない場合、それを生成し、または該アクセスコントロールが既に存在する場合、それを上記記憶エリアから検索することと、
コントロールオプションのセットを該クライアントに送信することであって、該コントロールオプションが、該アクセスコントロールにリンクされ得るデータソースのソースリストを含み、各データソースが１つ以上の属性の各々に対する値を含み、各データソースの各属性が、同じまたは別のデータソースの各属性と異なるかもしれない、ことと、
該選択されたコントロールオプションを該クライアントから受信することであって、該選択されたコントロールオプションが、該ソースリストからの１つ以上の選択されたデータソースと、各選択されたデータソースに対する該データソースからの１つ以上の選択された属性と、各選択された属性に対する１つ以上のオプションとを含む、ことと、
該受信されたコントロールオプションを含む該アクセスコントロールを該記憶エリアに保存することと
によって行われる、システム。
（項目１７） 上記データソースは、データベースである、上記項目のいずれかに記載のシステム。
（項目１８） 上記データソースは、ウェブサービスである、上記項目のいずれかに記載のシステム。
（項目１９） 上記資産は、上記システムのハードウェア部品である、上記項目のいずれかに記載のシステム。
（項目２０） 上記資産は、電子ドキュメントである、上記項目のいずれかに記載のシステム。
【０００９】
（摘要）
データベースまたはウェブサービスのようなデータソースにリンクされる１つ以上の動的アクセスコントロールを含むポリシーを用いて、電子ドキュメントまたはハードウェア部品のような資産へのアクセスを動的に管理するための方法およびシステム。アクセスコントロールは、毎回、ポリシーが発動されるゆえに、動的であり、ポリシーおよびその構成要素アクセスコントロールは、リンクされたデータソースの現在の情報に対して評価されなければならない。
【図面の簡単な説明】
【００１０】
【図１】図１は、本発明の実施形態の例示的ポリシーの生成および修正システムのブロックダイヤグラムを描く。
【図２】図２は、本発明の実施形態に従う動的アクセスコントロールの生成または修正を説明するフローチャートである。
【図３】図３は、本発明の実施形態に従う動的アクセスコントロールの生成ウィザードを説明するスクリーンショットである。
【図４】図４は、本発明の実施形態に従って動的アクセスコントロールを含む動的ポリシーの生成および修正を説明するフローチャートである。
【図５】図５は、本発明の実施形態に従う動的ポリシーの生成ウィザードを説明するスクリーンショットである。
【図６】図６は、本発明の実施形態に従う動的アクセスコントロールの検証を説明するフローチャートである。
【発明を実施するための形態】
【００１１】
（好ましい実施形態の詳細な記述）
本発明は、電子ドキュメント、ハードウェア部品等のような資産に対するアクセスコントロールおよびポリシーを動的に管理するための方法およびシステムを対象とする。ポリシーは、データベース、ウェブサービス等のようなデータソースにリンクされる１つ以上の動的アクセスコントロールを含む。アクセスコントロールは、毎回、ポリシーが発動されるゆえに、動的であり、ポリシーおよびその構成要素アクセスコントロールは、データソース（複数可）の現在の情報に対して評価されなければならない。従って、従来の静的アクセスコントロールリストと違って、動的アクセスコントロールは、特定のイベントまたは外部刺激が生じるとき、ほとんどリアル時間で変化に動的かつ自動に適応するのを可能にし、従って、アクセスコントロールが、それらの自身でアクセスコントロールまたはポリシーを変えるためのニーズがなく、常に現在のニーズを関して最新であることを確保する。さらに、方法およびシステムは、企業の至るところに資産を保護するために使われている複数のアクセスコントロールによって作られる粒度の（ｇｒａｎｕｌａｒ）精度の高いレベルでの中央コントロールを可能にする。
【００１２】
アクセスコントロールが、データソースのデータ属性の値に基づくゆえに、アクセスコントロールは、ユーザーが誰であるのに基づくアクセスを認める静的ルールではなく、むしろ代わりに、ユーザーに関する情報の検証に基づくアクセスを認める動的ルールである。例えば、ポリシーは、秘密またはより高いセキュリティクリアランスで従業員へのアクセスを制限し、セキュリティクリアランスステータスを含む従業員データベースにリンクされる動的アクセスコントロールを含み得る。従業員が、例えば機密からトップ秘密へのセキュリティクリアランスの昇進を受け取り、または例えば秘密から機密へのセキュリティクリアランスの降格を受け取るとき、次に、動的アクセスコントロールは、従業員データベースからこの情報を自動に得、そしてポリシーは、適切であるようにその従業員へのファイルアクセスを許可しまたは拒絶するように更新される。従って、アクセスコントロールポリシーは、常に最新であり、アクセスコントロールデータの変化に自動に適応する。
【００１３】
ここで、図面を参照すると、本発明の実施形態に従うアクセスコントロールの動的管理を使用する例示的システムは、図１で説明される。図１に示されるシステムは、特に、ネットワークまたはインターネットにわたるアクセスコントロールポリシーの動的管理に適され、しかし、本実施形態のシステムが、そのように制限されなく、非ネットワークまたは内蔵型のシステムに使われ得ることは理解されるべきである。
【００１４】
描かれたシステム６０は、アクセスコントロールプロセス１０と、関連する共有または働くメモリー２０と、ディレクトリ３１、ウェブサービス３２、およびユーザーデータベース３３を含むデータソースと、ポリシーおよびアクセスコントロール情報を格納するためのデータ記憶エリア４０と、１つ以上の資産５１、５２とを含み、それらが、オプションなネットワーク１２、１４、１６にわたって互いおよびクライアント５に接続される。システム６０は、追加のサーバー、クライアント、および示されていない他のデバイスを含み得、システムの個々の構成要素は、単独かまたは複数で存在し得、例えば、２つ以上のデータ記憶エリアがあり得る。
【００１５】
概して、クライアント５は、ポリシー管理システム６０によって提供される機能、例えば、システムからのポリシーを生成し、観察し、適用し、そしてエクスポートするためのメカニズム等のためのインターフェースを提供する。クライアント５は、「目に見える」または「目に見えない」インターフェースをシステムに提供するように構成され得る。例えば、第１の実施形態において、クライアント５は、エンドユーザーにポリシー管理システムに対する目に見えないインターフェースを提供し、それにおいて、エンドユーザーは、エンドユーザーがシステムを知ることさえもなく、アクセスがシステムによって管理されるポリシーによってコントロールされる資産にアクセスしまたは操作することを可能にする。このような実施形態において、クライアント５はまた、システム管理者が、例えば、システムからのポリシーを生成し、観察し、適用し、そしてエクスポートすることを可能にするように、システム管理者にシステムに対する目に見えるインターフェースを提供する。例えば、エンドユーザーは、実験室の施設にアクセスするために、ポリシー管理システムを知らなくても、（例えば、アクセスカードを通しまたはキーパッド入力を許可するための）電子アクセスパネルのようなクライアントデバイスを使い得、その一方で、システム管理者は、自身でシステムにアクセスするためのコンピュータ端末のようなクライアントデバイスを使い得る。第２の実施形態において、クライアント５は、エンドユーザーおよび管理者にシステムに対する目に見えるインターフェースを提供し、しかし、管理者は、エンドユーザーに対して利用不可能である追加のオプション（例えば、ポリシーを削除しまたはエクスポートすること）を提供され得る。
【００１６】
アクセスコントロールプロセス１０は、システム６０によって管理されるポリシーを生成し、修正し、圧縮保存し、削除しまたは取り除くために構成される適用プログラムを提供し得、ポリシー管理、アクセスコントロール、およびサーチを行うための機能のために使われるツールと、システム６０によって管理されるポリシーに関連する他のオプションと含み得る。ユーザーが特定のアクセスコントロールポリシーにアクセスするとき、それは、データ記憶エリア４０からメモリー２０内にロードされ、それにより、ポリシーが、アクセスコントロールプロセス１０に必要とされるように更新され得る。メモリー２０は、任意の従来または他のメモリーまたは記憶デバイスによってインプリメントされ得、揮発性（例えば、ＲＡＭ、キャッシュ、フラッシュ等）、または不揮発性（例えば、ＲＯＭ、ハードディスク、光学記憶装置等）であり得、他の適切な記憶キャパシティーを含み得る。
【００１７】
ネットワーク１２、１４、１６は、任意量の任意の適切な通信メディア（例えば、ＷＡＮ、ＬＡＮ、インターネット、イントラネット、有線、無線等）によってインプリメントされ得る。本実施形態のコンピュータシステムは、任意の従来または他のプロトコールを介してネットワークにわたって通信するための任意の従来または他の通信デバイスを含み得、ネットワークへのアクセスのための任意タイプの接続（例えば、有線、無線等）を利用し得る。クライアント５、アクセスコントロールプロセス１０、メモリー２０、データソース３１、３２、３３、データ記憶システム４０および資産５１、５２のうちのどれが、システム６０の１つ以上の構成要素に対してローカルであり得、１つ以上のネットワーク１２、１４、１６を介してシステム６０の１つ以上の他の構成要素から遠く離れ得、そしてそれらと通信し得ることは理解される。
【００１８】
データソース３１、３２、３３は、所望のやり方でシステムを動作させるのに必要とされるような任意の適切な数およびタイプのデータソースであり得る。データソースは、企業データソース（例えば、ＤＢ２、Ｏｒａｃｌｅ、ＩＢＭ Ｅｎｔｅｒｐｒｉｓｅ Ｃｏｎｔｅｎｔ Ｍａｎａｇｅｍｅｎｔ（ＥＣＭ）システム、ＥＲＰシステム等）、個人およびイントラ組織データソース（例えば、ｓｐｒｅａｄｓｈｅｅｔｓ（例えば、Ｍｉｃｒｏｓｏｆｔ Ｅｘｃｅｌ）またはデータベース（例えば、Ｍｉｃｒｏｓｏｆｔ Ａｃｃｅｓｓ、ＭｙＳＱＬ、Ｓｈａｒｅｐｏｉｎｔ、Ｑｕｉｃｋｒ、ＸＭＬ等））、公開データベースのようなウェブベースデータソース（例えば、税金記録、不動産記録、裁判所文書等）、ウェブサービス等を含み得る。データ記憶システム４０は、任意量の任意タイプの従来または他のデータベース（例えば、ネットワーク、階層、関係、オブジェクト等）または記憶構造（例えば、ファイル、データ構造、ウェブベース記憶、ディスクまたは他の記憶等）によってインプリメントされ得る。
【００１９】
資産５１、５２は、セキュリティが望まれる任意タイプの資産であり得、物理的、電子的、または他の適切な形式であり得る。例示的物理資産は、建物のような施設、実験室またはファイルルームのようなワークスペース、自動車またはオートバイのような乗り物、コンピュータのようなオフィス設備、複写機のようなモデム、ルームのようなエリアまたは構造、ガレージのようなキャビネット、デバイス内の個々のハードウェア部品等を含み得る。例えば、システムおよび方法は、ハードウェアアイテムに対する使用およびアクセスをコントロールするために使われ得、例えば、コンピュータネットワークカードにアクセスするためのユーザー能力は、動的ポリシーによってコントロールされ得、施設内の施設またはエリアへのアクセスをコントロールするために使われ得、例えば、化学研究の環境において、認可された職員に対して危険な化学薬品を含む貯蔵エリアへのアクセスに制限することが望ましいかもしれない。
【００２０】
例示的電子資産は、データベース、電子ドキュメント、サーバーアクセス、ソフト適用、ユーザープロフィール等を含み得る。電子ドキュメントは、ＨＴＭＬおよびＸＭＬウェブ内容、ドキュメントイメージ、電子記録、データベース記録、ワード処理ドキュメント、プレゼンテーションスライド、オフィスドキュメント、ｅ−ｍａｉｌメッセージまたはアーカイブ、ゲーム、テキストデータ、電子書籍、グラフ、オーディオ、ビデオ、ＳＭＳまたはＭＭＳメッセージ、情報の他のデジタル表示、および／またはそれらの組み合わせのような、しかし制限されない現在に公知また後に開発される任意タイプの電子ファイルまたはデータであり得る。例えば、システムおよび方法は、例えば、一定のユーザーのみが、明記された基準を満たした後にだけ、ビデオまたはオーディオファイルにアクセスするための権利を有するシステムにおいて、デジタル権利コントロールをファイルに提供するために使われ得る。
【００２１】
コンピュータシステムまたはネットワークへのアクセスは、これらの実施形態によってコントロールされる資産でもあり得る。例えば、ポリシーは、コンピュータシステムまたはネットワークの正しい使用および／または誤用を定義するアクセスコントロールで定義され得、ユーザーがシステム内またはシステムの間に相互作用するようなリアル時間のアクセスを認めまたは拒絶するようにセットアップされ得る。システムおよび方法は、例えば、データソースのようなパスポートデータベース、拒絶されたパーティーリスト、または犯罪記録データベースを有することによって、識別チェックのために使われ得る。
【００２２】
ここで、図２を参照すると、管理者は、前に記述されるシステム、特に図２のステップを行うためのアクセスコントロールプロセス１０を使い得、参照数字１００が、概して、動的アクセスコントロールを生成しまたは修正するためのプロセスを描くフローチャートを明示する。プロセスは、１０５で開始し、そしてステップ１１０において、アクセスコントロールが既に存在するか否かを決定し、存在する場合、アクセスコントロールをメモリー内にロードし、そしてステップ１３０へ進む。存在しない場合、新しいアクセスコントロールは、ステップ１１５において生成され、その名前およびタイプは、ステップ１２０において選択される。名前は、任意の適切な名前であり得、例えば、従業員のタイプに基づくアクセスコントロールが、「Ｅｍｐｌｏｙｅｅ Ｔｙｐｅ」で呼ばれ得、時間および日付に基づくアクセスコントロールが、「Ａｃｃｅｓｓ Ｔｉｍｅ」で呼ばれ得る等。アクセスコントロールのタイプは、アクセスコントロールがどうやってアクセスポリシーで使われ得ることを指し、例えば、単一のオプションが選択され得、複数のオプションが選択され得、または論理ステートメントがアクセスコントロールに適用され得ることを表示するオプションであり得る。ステップ１２５において、名前は、それがシステムにおいて唯一であることを確保するためにチェックされ、そうではない場合、プロセスは、新しい名前を選択するためにステップ１２０に回帰する。いったん唯一の名前が決定されると、アクセスコントロールは、メモリー内にロードされ、そしてプロセスは、ステップ１３０へ進む。
【００２３】
ステップ１３０において、管理者は、データソースを選択する。データソースは、アクセスコントロールによって使われる情報、例えば、従業員に関する情報、アクセスが認められ得、そして／または拒絶され得る状態に関する情報等を含みまたは得る任意のソースであり得る。データソースは、値を有する少なくとも１つの属性を含み、例えば、従業員データベースは、フルータイム、パートタイム、契約者またはインターンの可能な値を有する従業員ステータス属性と、Ｎｅｗ Ｙｏｒｋ Ｏｆｆｉｃｅ、Ｃａｌｉｆｏｒｎｉａ Ｏｆｆｉｃｅ等の可能な値を有するワーク位置属性と含み得る。望まれるアクセスコントロールのタイプに依存して、異なるソースが使われ得る。ステップ１４０において、管理者は、例えば、位置、認証情報、および属性名を用いてデータソースへの接続を構成する。例えば、データソースがウェブサービスである場合、接続を構成することは、サービス、ポート、ユーザー名とパスワードとのような認証情報、適用されるべき属性名（例えば、時間、温度、従業員タイプ、セキュリティクリアランスレベル、部門、ワーク位置等）にアクセスするための場合、ＩＰアドレスまたは他の位置を入力するのに必要とし得る。
【００２４】
ステップ１５０において、管理者は、アクセスコントロールのためのオプションを構成する。オプションは、アクセスコントロールタイプ、選択されるデータソース、データソースの属性に依存する。例えば、アクセスコントロールが、従業員情報に基づき、選択されたデータソースが、セキュリティクリアランス属性を含む従業員情報のアクティブディレクトリである場合、属性の可能な値は、例えば、なし、ＦＯＵＯ、機密、秘密、トップ秘密等を含む。利用可能なオプションは、可能な値、例えば、秘密クリアランスに直接にマッチし得、または複数の値、例えば、秘密、トップ秘密、およびより高いレベルのクリアランスにマッチする秘密またはより高いクリアランスにマッチし得る。例えば、アクセスコントロールが日付および時間ベースである場合、選択されたデータソースは、日付および時間の属性を提供するウェブサービスであり、管理者は、週の日（例えば、営業日のみ、毎日、一日おき、週末のみ等）のような日付属性のためのオプションを構成し得、午前、午後、夕方、営業時間等のような時間属性のためのオプションを構成し得る。
【００２５】
ステップ１６０は、管理者は、アクセスコントロールの利用可能性、例えば、アクセスポリシーの使用のためにこのアクセスコントロールを選択し得るユーザーのリスト、またはこのアクセスコントロールが現れる位置のリストを構成する。ステップ１７０において、アクセスコントロールが保存され、そしてステップ１７５でこのプロセスが終了する。
【００２６】
アクセスコントロールを生成するためのプロセス１００の実施形態を説明する例示的Ｇｒａｐｈｉｃ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ （ＧＵＩ）は、例示的「Ｅｍｐｌｏｙｅｅ Ｔｙｐｅ」アクセスコントロールに関連して、図３に示される。参照ポイント１で、管理者は、アクセスコントロール名を入力し、このアクセスが、複数のオプションがこのアクセスコントロールのために選択され得ることを意味する「Ｍｕｌｔｉｐｌｅ Ｓｅｌｅｃｔ」タイプを有することを指示する。参照ポイント２で、管理者は、この場合においてデータソースのようなアクティブディレクトリを選択し、そしてＩＰアドレス、ポート、ユーザー名、パスワード、および望まれた情報がデータソースに見つけられ得る場所を指示する属性名を入力することによって、このアクセスコントロールのためのデータソースを構成する。管理者は、入力される情報が有効であるか否かを決定するために、この時間での接続もテストし得る。
【００２７】
参照ポイント３で、管理者は、この場合において選択され得るさまざまな選択肢、例えば、「Ｆｕｌｌ Ｔｉｍｅ」、「Ｐａｒｔ Ｔｉｍｅ」または「Ｃｏｎｔｒａｃｔｏｒ」を加えることによって、アクセスコントロールのためのオプションを構成する。参照ポイント４で、管理者は、例えば、アクセスポリシーの使用のためにこのアクセスコントロールを選択し得るユーザーのリスト、またはこのアクセスコントロールが現れる位置のリスト等を明記することによって、アクセスコントロールの利用可能性を構成する。参照ポイント５で、管理者は、このアクセスコントロールを保存し得または適用し得る。
【００２８】
ここで、図４を参照すると、管理者は、前に記述されるシステム、特に図４のステップを行うためのアクセスコントロールプロセス１０を使い得、参照数字２００が、概して、動的アクセスポリシーを生成しまたは修正するためのプロセスを描くフローチャートを明記する。プロセスは、２０５で始まり、そしてステップ２１０において、ポリシーが既に存在するか否かを決定し、存在する場合、ポリシーをメモリー内にロードし、そしてステップ２２０に進む。存在しない場合、プロセスは、ステップ２１５で新しいポリシーを生成する。ステップ２２０において、管理者は、ポリシーが適用される１つ以上の資産を選択する。
【００２９】
ステップ２３０において、管理者は、ポリシーが適用される許可または（複数）許可を選択する。これらの許可は、ポリシーによって保護される資産の性質に依存して変わり得、例えば電子ドキュメントに対して、許可は、「Ｏｐｅｎ」または「Ｒｅａｄ」、「Ｗｒｉｔｅ」、「Ｅｘｅｃｕｔｅ」、「Ｐｒｉｎｔ」等のような標準ファイル許可であり得る。異なるタイプの資産に対して、例えば保護される資産が実験室への入室である場合、許可は、「Ｓｅｌｆ Ａｄｍｉｔ」、「Ａｄｍｉｔ ｗｉｔｈ Ｇｕｅｓｔ」、「Ｇｒａｎｔ Ａｄｍｉｓｓｉｏｎ ｔｏ Ｏｔｈｅｒｓ」等であり得る。
【００３０】
ステップ２４０において、管理者は、ポリシーに加えられることが可能な１つ以上のアクセスコントロールを選択し、各アクセスコントロールのための利用可能なオプションから選択し得る。例えば、図３に描かれる例示的「Ｅｍｐｌｏｙｅｅ Ｔｙｐｅ」アクセスコントロールに対して、利用可能なオプションは、「Ｆｕｌｌ Ｔｉｍｅ」、「Ｐａｒｔ Ｔｉｍｅ」、「Ｃｏｎｔｒａｃｔｏｒ」および「Ｉｎｔｅｒｎ」を含む。例示的「Ｓｅｃｕｒｉｔｙ Ｃｌｅａｒａｎｃｅ」アクセスコントロールに対して、利用可能なオプションは、「ｎｏｎｅ」、「ＦＯＵＯ」、「ｃｏｎｆｉｄｅｎｔｉａｌ」、「ｓｅｃｒｅｔ」、および「ｔｏｐ ｓｅｃｒｅｔ」を含み得る。例として、望ましいポリシーが、一定のドキュメントにアクセスするためのＦＯＵＯまたはより高いセキュリティクリアランスを有する一定タイプの従業員を許可するようである場合、管理者は、「Ｅｍｐｌｏｙｅｅ Ｔｙｐｅ」アクセスコントロールのための「Ｆｕｌｌ Ｔｉｍｅ」、「Ｐａｒｔ Ｔｉｍｅ」および「Ｃｏｎｔｒａｃｔｏｒ」オプションを選択し得、「Ｓｅｃｕｒｉｔｙ Ｃｌｅａｒａｎｃｅ」アクセスコントロールのための「ＦＯＵＯ」（Ｆｏｒ Ｏｆｆｉｃｉａｌ Ｕｓｅ Ｏｎｌｙ）を選択し得る。
【００３１】
ステップ２５０において、管理者は、ＡＮＤ、ＯＲおよびＮＯＴのような論理表現を用いて、１つ以上のアクセスコントロールとそれらの間の関係とを明記する論理ステートメントを生成しまたは編集し得る。例えば、一定のドキュメントにアクセスするためのＦＯＵＯまたはより高いセキュリティクリアランスを有する一定タイプの従業員を許可する例示的ポリシーに対して、管理者は、以下の論理ステートメント：Ｅｍｐｌｏｙｅｅ Ｔｙｐｅ ＡＮＤ Ｓｅｃｕｒｉｔｙ Ｃｌｅａｒａｎｃｅを入力し得る。
【００３２】
ステップ２６０において、管理者は、ポリシーを保存し得、オプション的にステップ２７０において、管理者は、アクセスコントロールを起こすために、ポリシーを資産に適用し得る。プロセスは、２７５で終了する。ポリシーが資産に適用されるとき、任意の個々に資産にアクセスしようとすることは、それらが資産にアクセスすることを許可される前に、望ましい許可のためのポリシーの全部のアクセスコントロールを満たさなければならない。
【００３３】
ポリシーを生成するためのプロセス２００の実施形態を説明する例示的Ｇｒａｐｈｉｃ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ （ＧＵＩ）は、例示的ポリシーに関連して、図５に示される。参照ポイント１で、管理者は、このポリシーが適用する許可、この例において「Ｏｐｅｎ」と「Ｐｒｉｎｔ」を選択する。参照ポイント２で、管理者は、ポリシーに加えられることが可能な１つ以上のアクセスコントロール、例えば、「Ｅｍｐｌｏｙｅｅ Ｔｙｐｅ」アクセスコントロールを選択し、そのアクセスコントロールのための利用可能なオプションから、例えば、「Ｆｕｌｌ Ｔｉｍｅ」、「Ｐａｒｔ Ｔｉｍｅ」、および「Ｃｏｎｔｒａｃｔｏｒ」を選択する。参照ポイント３で示されるように、ＧＵＩは、加えられる選択されたアクセスコントロールをディスプレイするパネルを含み得る。この場合において、「Ｐｒｏｊｅｃｔ Ｎａｍｅ」、「Ｓｅｃｕｒｉｔｙ Ｃｌｅａｒａｎｃｅ」および「Ａｃｃｅｓｓ Ｔｉｍｅ」アクセスコントロールは、既に選択される。参照ポイント４で、ＧＵＩは、管理者が論理ステートメントを生成することを許可する。参照ポイント５で、管理者は、ポリシーを保存し得、ポリシーを適用し得、またはＧＵＩを終了し得る。
【００３４】
ここで、図６を参照すると、参照数字３００は、概して、動的アクセスコントロールポリシーを確認するためのプロセスを描くフローチャートを明記し、フローチャートが、前に記述されるシステム、特にアクセスコントロールプロセス１０によって行われ得る。プロセスは、３０５で始まり、資産にアクセスし、または資産に特定の許可を行使するために、ユーザーリクエストによってトリガーされ得る。ステップ３１０において、プロセスは、資産に適用するポリシーを検索し、そしてステップ３１５において、論理ステートメントを構文解析し、かつステートメント内に見つけられるアクセスコントロールの各々をロードする。
【００３５】
各アクセスコントロールは、次に、ステップ３２０から３４５までを用いて個々に処理される。ステップ３２０で、アクセスコントロールが選択され、そしてステップ３２５で、そのアクセスコントロールに対するデータソースへの接続がロードされる。ステップ３３０で、プロセスは、接続が確立されたか否かを決定し、された場合、ステップ３３５へ進む。されていない場合、プロセスは、ステップ３５５へ進む。ステップ３３５で、システムは、リクエストするユーザーに関連する構成された属性値（複数可）をデータソースから検索し、そしてステップ３４０において、検索された値（複数可）をポリシーによって明記されるオプションと比較する。例えば、「Ｅｍｐｌｏｙｅｅ Ｔｙｐｅ」アクセスコントロールに対して、検索された値は、ポリシーの明記されたオプションに一致する「Ｆｕｌｌ Ｔｉｍｅ」であり得る。ステップ３４５で、システムは、プロセスのための他のアクセスコントロールがあるか否かを決定し、ある場合、ステップ３２０に戻る。ない場合、システムは、ステップ３５０へ進む。
【００３６】
ステップ３５０において、システムは、関連するアクセスコントロールの各々が真または真でない値を有するか否かに基づいて、最終結果が真または真でないか否かを決定するために論理ステートメントを評価する。ステップ３５５において、ユーザーがアクセスを許可されるか否かを決定し、例えば、全部の値が真であり、ユーザーがアクセスを認められ得るか、または真でない場合においてユーザーがアクセスを拒絶されるかを決定するために評価される。真の場合、ユーザーは、ステップ３６０においてアクセスを許可され、そしてプロセスは、ステップ３６５で終了する。真でない場合、ユーザーは、アクセスを拒絶され、そしてプロセスは、ステップ３６５で終了する。
【００３７】
描かれる例は、動的アクセスコントロールを生成しまたは修正し、アクセスコントロールポリシーを生成しまたは修正するための２つ別々のプロセスを記述し、かつ説明するが、これらのプロセスは、単一のプロセス内に組み合わせられ得、または任意の適切な方式で２つまたはより多いプロセスに分けられ得る。前述およびフローチャートに説明されるソフトウェアおよび／またはアルゴリズムは、本明細書に記述される機能を達成する任意の方式で修正され得る。加えて、フローチャートまたは記述の機能は、所望の動作を達成する任意の命令で行われ得る。
【００３８】
本発明の実施形態は、完全にハードウェア実施形態、完全にソフトウェア実施形態またはハードウェアおよびソフトウェア要素の両方を含む実施形態の形を取り得る。好ましい実施形態において、本発明は、ファームウェア、常駐ソフトウェア、マイクロコード等を含み、しかし制限されないソフトウェアでインプリメントされる。ソフトウェアは、記録可能な媒体（例えば、磁気的、光学的、フロッピー（登録商標）、ＤＶＤ、ＣＤ等）で利用可能または通信媒体（例えば、ネットワーク、ＬＡＮ、ＷＡＮ、イントラネット、インターネット等）を介してソースからダウンロードするためのキャリア波または信号の形であり得る。ソフトウェアは、動作するシステムまたは特定の適用、部品、プログラム、モジュール、オブジェクト、または命令順序の一部分であり得る。
【００３９】
ソフトウェアが、任意の所望のコンピュータ言語でインプリメントされ得、図面で説明される詳説およびフローチャートに含まれる機能の記述に基づいてコンピュータ技術の当業者によって開発され得ることは理解されるべきである。例のみとして、ソフトウェアは、Ｃ＃、Ｃ＋＋、Ｐｙｔｈｏｎ、Ｊａｖａ（登録商標）、ＸＭＬ、またはＰＨＰプログラミング言語でインプリメントされ得、データ記憶は、ＭｙＳＱＬ、Ｏｒａｃｌｅ、ＳＱＬ Ｓｅｒｖｅｒ、ＩＢＭ ＤＢ２、Ｉｎｆｏｒｍｉｘまたはフラットデータベース等でインプリメントされ得る。さらに、さまざまな機能を行うソフトウェアに対する本明細書での任意の参照文献は、概して、ソフトウェアコントロールの下でそれらの機能を行うコンピュータシステムまたはプロセッサーに関連する。
【００４０】
コンピュータシステムは、代替的に、任意タイプのハードウェアおよび／または他の処理回路でインプリメントされ得る。コンピュータシステムのさまざまな機能は、任意量のソフトウェアモジュールまたはユニット、処理またはコンピュータシステム、オブジェクト、データ構造および／または回路の間の任意の方式で分配され得、コンピュータまたは処理システムが、ローカルにまたは互いに遠く離れて配置され得、任意の適切な通信媒体（例えば、ＬＡＮ、ＷＡＮ、イントラネット、インターネット、ハードワイヤ、モデム接続、無線等）を介して通信し得る。
【００４１】
さらに、本実施形態は、コンピュータまたは他の命令実行システムによりまたはそれらとの接続での使用のためのプログラムコードを提供するコンピュータ使用可能またはコンピュータ読み取り可能な媒体からアクセス可能なコンピュータプログラム製品の形を取り得る。この記述の目的に対して、コンピュータ使用可能またはコンピュータ読み取り可能な媒体は、命令実行システム、装置、またはデバイスによりまたはそれらとの接続での使用のためのプログラムを含み得、格納し得、通信し得、伝播し得または輸送し得る任意の装置であり得る。媒体は、電子的、磁気的、光学的、電磁気的、赤外線、または半導体システム（または装置またはデバイス）または伝播媒体であり得る。コンピュータ読み取り可能な媒体の例は、半導体または固体状態のメモリー、磁気テープ、取り除き可能なコンピュータディスケット、ランダムアクセスメモリー（ＲＡＭ）、読み取り専用のメモリー（ＲＯＭ）、硬直の磁気ディスクおよび光学ディスクを含む。光学ディスクの現在の例は、コンパクトディスク（読み取り専用メモリー）（ＣＤ−ＲＯＭ）、コンパクトディスク（読む／書く）（ＣＤ−Ｒ／Ｗ）およびＤＶＤを含む。望ましい実施形態において、コンピュータ使用可能またはコンピュータ読み取り可能な媒体は、有形媒体である。
【００４２】
プログラムコードを格納し、そして／または実行するのに適切な処理システムは、ディスプレイまたはモニター、（例えば、プロセッサー、メモリーおよび／または内部または外部の通信デバイス（例えば、モデム、ネットワークカード等）およびオプション的な入力デバイス（例えば、キーボード、マウスまたは他の入力デバイス）を含む）ベースを好ましく装備される任意の従来または他のコンピュータまたは処理システムでインプリメントされ得る。システムは、システムバスを通して直接または間接にメモリー要素と結合される少なくとも１つのプロセッサーを含み得る。メモリーは、任意の従来または他のメモリーまたは記憶デバイス（例えば、ＲＡＭ、キャッシュ、フラッシュ等）でインプリメントされ得、任意の適切な記憶キャパシティーを含み得る。メモリー要素は、プログラムコードの実際の実行の間に使用されるローカルメモリー、バルク記憶装置、および実行の間にバルク記憶装置から検索されるべき時間コードの数を減らすために、少なくともいくつかのプログラムコードの一時的な記憶域を提供するキャッシュメモリーを含み得る。（キーボード、ディスプレイ、ポインティングデバイス等を含み、しかし制限しない）入力／出力またはＩ／Ｏデバイスは、直接かまたは間にあるＩ／Ｏコントローラを通してシステムと結合され得る。ネットワークアダプターはまた、処理システムが間にあるプライベートまたは公共ネットワークを通して他の処理システムまたはリモートプリンターまたは記憶デバイスと結合されるようになることを可能にするために、システムと結合され得る。モデム、ケーブルモデムまたはイーサネット（登録商標）カードは、ただ少数の現在に利用可能なタイプのネットワークアダプターである。
【００４３】
エンドユーザーシステムは、任意量の従来または他のコンピュータシステムまたはデバイス（例えば、コンピュータ端末、個人コンピュータ（例えば、ＩＢＭ−ｃｏｍｐａｔｉｂｌｅ、Ａｐｐｌｅ ＭａｃＩｎｔｏｓｈ、タブレット、ラップトップ等）等）、セルラー電話、個人データアシスタント（例えば、Ｐａｌｍ Ｐｒｅ、Ｄｒｏｉｄ、ｉＰｈｏｎｅ等）等でインプリメントされ得、任意の市販で利用可能な動作するシステム（例えば、ＡＩＸ、Ａｎｄｒｏｉｄ、Ｌｉｎｕｘ、ＯＳＸ、Ｓｕｎ Ｓｏｌａｒｉｓ、Ｕｎｉｘ（登録商標）、 Ｗｉｎｄｏｗｓ（登録商標）等）および任意の市販で利用可能またはカスタムソフトウエア（例えば、ブラウザソフトウェア、通信ソフトウェア、ワード処理ソフトウェア等）を含み得る。これらのシステムは、情報を入力し、そして／またはビューするためのディスプレイおよび入力デバイス（例えば、キーボート、マウス、音声認識等）を含み得る。エンドユーザーシステムは、プロセスおよびデータ記憶エリアに対してローカルであり得、またはネットワークを介してサーバーおよびデータ記憶エリアから遠く離れ得、かつそれらと通信し得る。
【００４４】
ネットワークは、任意量の任意の適切な通信メディア（例えば、ＷＡＮ、ＬＡＮ、インターネット、イントラネット、有線、無線等）でインプリメントされ得る。コンピュータシステムは、任意の従来または他のプロトコールを介してネットワークにわたって通信するための任意の従来または他の通信デバイスを含み得、ネットワークへのアクセスのための任意タイプの接続（例えば、有線、無線等）を利用され得る。
【００４５】
本発明の好ましい実施形態の前の開示は、例示および記述の目的のために示される。それは、完全であり、または開示される正確な形式に対して本発明を制限するように意図されない。本明細書に記述される実施形態の多くのバリエーションおよび修正は、当業者にとって、上の本開示を考慮して明白である。本発明の範囲は、本明細書に添えられた特許請求範囲によりだけではなく、それらの同等物によっても規定されるべきである。
【００４６】
さらに、本発明の代表的な実施形態を記述するのにおいて、詳説は、本発明の方法および／またはプロセスをステップの特定の順序として示し得る。しかし、方法またはプロセスが本明細の前のステップセットの特定の命令に頼らない範囲に対して、方法またはプロセスは、記述されるステップの特定の順序に制限されるべきではない。当業者が認識するように、ステップの他の順序が可能であり得る。そのゆえに、詳説において前のステップセットの特定の命令は、請求範囲上の制限として構成されるべきではない。加えて、本発明の方法および／またはプロセスに対象とする請求範囲は、書かれた命令のそれらのステップの性能に制限されるべきではなく、当業者は、順序が変えられ得、なお本発明の真意および範囲内に残り得ることを容易に認識し得る。
【符号の説明】
【００４７】
５ クライアント
１０ ロールマネージャープロセス
１２、１４、１６ ネットワーク
２０ メモリー
３１ ディレクトリ
３２ ウェブサービス
３３ ユーザーデータベース
３４ フラットファイル
４０ データ記憶エリア
５０ システム
５１、５２ 資産
【技術分野】
【０００１】
（連邦政府支援の研究に関する声明）
本発明は、米国国土安全保障省によって与えられた契約番号ＦＡ８７５０−０８−Ｃ−０１１４の下に政府支援でなされた。政府は、本発明に一定の権利を有する。
【背景技術】
【０００２】
（本発明の背景）
任意の所与の企業において、資産が存在し、これらの資産は、さまざまな理由のために、例えば、資産にアクセスし得る従業員の数およびタイプを制限するために、または資産の使用量を制限するために、安全にされることが望まれる。例えば、従来のコンピュータネットワークは、アクセスコントロール設定または許可を提供して、さまざまな資産へのユーザーアクセスの範囲およびタイプが事前に設定されることによって電子ファイルのような資産に対してセキュリティを提供し得る。例えば、会社において、あるユーザー、特定の電子ドキュメントに対して読み取り専用の特権を有し得、他のユーザーは、読み取り／書き込み特権を有し得、その一方で、なおそれ以外のユーザーは、アクセス特権を全く有しない場合がある。
【発明の概要】
【発明が解決しようとする課題】
【０００３】
これらのアクセスコントロール設定は、ロールベースアクセスコントロール（ＲＢＡＣ）によって管理され得、その場合、資産にアクセスしたいユーザーが、資産にアクセスすることを許可されるロールのメンバーでなければならない。ロールベースアクセスコントロールの使用は、大体において静的であり、すなわち、管理者がユーザーまたはユーザーのグループをロールに直接にマッピングすることによってロールを定義し、そしてユーザーをロールに加えまたは取り除くためにロールまたはグループの定義を編集しなければならない。所定のロールメンバーシップの静的性質に起因して、変化に速く適応する能力は、やや妨げられる。
【課題を解決するための手段】
【０００４】
従って、本発明の実施形態は、動的アクセスコントロールを用いてポリシーを生成しかつ修正するためのシステムおよび方法を提供する。実施形態は、資産へのアクセスを動的に管理するための方法を提供し、方法が、資産にアクセスするためのユーザーリクエストを受信することと、ユーザーリクエストを受信するのに応答して、資産に関連するアクセスコントロールポリシーを記憶エリアから検索することであって、アクセスコントロールポリシーが、１つ以上のアクセスコントロールと、互いに対して１つ以上のアクセスコントロールの論理関係を明記する論理ステートメントとを含み、各アクセスコントロールが、属性に対する１つ以上の明記されたオプションを含み、属性に対する値を含むデータソースにリンクされる、ことと、論理ステートメントを構文解析し、論理ステートメントの各アクセスコントロールに対して、アクセスコントロールが真かまたは真でない結果を有するのを決定することと、論理関係に従って、論理ステートメントの各アクセスコントロールに対する真または真でない結果を処理することによって論理ステートメントの真または真でないことを評価することと、ユーザーが資産にアクセスするのを許可されるか否かを決定することであって、論理ステートメントが真である場合、ユーザーがアクセスを許可され、論理ステートメントが真でない場合、ユーザーがアクセスを拒絶される、こととを含む。方法は、リンクされたデータソースに接続することと、属性に対する値をデータソースから検索することと、検索された値をアクセスコントロールの１つ以上の明記されたオプションと比較することであって、もし検索された値が明記されたオプションのうちの１つ以上にマッチするなら、アクセスコントロールの結果が真であり、もし検索された値が明記されたオプションのうちの１つ以上にマッチしないなら、アクセスコントロールの結果が真でない、こととによって、アクセスコントロールが真かまたは真でない結果を有するのを決定する。
【０００５】
もう１つの実施形態は、資産へのアクセスを動的に管理するためのシステムを提供し、システムが、クライアントとアクセスコントロールプロセスと含む。クライアントは、資産へのアクセスをリクエストするアクセスコントロールリクエストを送信し、アクセス決定を受信し、受信されたアクセス決定に基づいて資産へのアクセスを認めまたは拒絶するためにユーザーによる使用可能である。アクセスコントロールプロセスは、アクセスコントロールリクエストをクライアントから受信することと、アクセスコントロールリクエストを受信するのに応答して、資産に関連するアクセスコントロールポリシーを記憶エリアから検索することであって、アクセスコントロールポリシーが、１つ以上のアクセスコントロールと、互いに対して１つ以上のアクセスコントロールの論理関係を明記する論理ステートメントとを含み、各アクセスコントロールが、属性に対する１つ以上の明記されたオプションを含み、属性に対する値を含むデータソースにリンクされる、ことと、論理ステートメントを構文解析し、論理ステートメントの各アクセスコントロールに対して、アクセスコントロールが真かまたは真でない結果を有するのを決定することと、論理関係に従って、論理ステートメントの各アクセスコントロールに対する真または真でない結果を処理することによって論理ステートメントの真または真でないことを評価することと、アクセス決定を生成することであって、論理ステートメントが真である場合、アクセス決定が、ユーザーがアクセスを認められることを明記し、論理ステートメントが真でない場合、アクセス決定が、ユーザーがアクセスを拒絶されること明記する、ことと、アクセス決定をクライアントに送信することとによって、アクセスコントロールリクエストを処理するように構成される。アクセスコントロールプロセスは、リンクされたデータソースに接続することと、属性に対する値をデータソースから検索することと、検索された値をアクセスコントロールの１つ以上の明記されたオプションと比較することであって、もし検索された値が明記されたオプションのうちの１つ以上にマッチするなら、アクセスコントロールの結果が真であり、もし検索された値が明記されたオプションのうちの１つ以上にマッチしないなら、アクセスコントロールの結果が真でない、こととによって、アクセスコントロールが真かまたは真でない結果を有するのを決定する。
【０００６】
本発明の実施形態の上述およびなおさらなる特徴および利点は、以下のその詳細な記述に考慮して明白になり、特に添付の図面に関連して解釈されるとき、さまざまな図面の同様の参照数字が、同様の構成要素を明示するために利用される。
【０００７】
本発明は、例えば、以下を提供する。
【０００８】
（項目１） 資産へのアクセスを動的に管理するための方法であって、該方法は、
資産にアクセスするためのユーザーリクエストを受信することと、
該ユーザーリクエストを受信するのに応答して、該資産に関連するアクセスコントロールポリシーを記憶エリアから検索することであって、該アクセスコントロールポリシーが、１つ以上のアクセスコントロールと、互いに対して該１つ以上のアクセスコントロールの論理関係を明記する論理ステートメントとを含み、各アクセスコントロールが、属性に対する１つ以上の明記されたオプションを含み、該属性に対する値を含むデータソースにリンクされる、ことと、
該論理ステートメントを構文解析し、該論理ステートメントの各アクセスコントロールに対して、該アクセスコントロールが真かまたは真でない結果を有するのを決定することであって、該決定することが、
該リンクされたデータソースに接続することと、
該属性に対する該値を該データソースから検索することと、
該検索された値を該アクセスコントロールの該１つ以上の明記されたオプションと比較することであって、もし該検索された値が該明記されたオプションのうちの１つ以上にマッチするなら、該アクセスコントロールの結果が真であり、もし該検索された値が該明記されたオプションのうちの１つ以上にマッチしないなら、該アクセスコントロールの結果が真でない、ことと
によって行われる、ことと、
該論理関係に従って、該論理ステートメントの各アクセスコントロールに対する該真または真でない結果を処理することによって該論理ステートメントの真または真でないことを評価することと、
該ユーザーが該資産にアクセスするのを許可されるか否かを決定することであって、該論理ステートメントが真である場合、該ユーザーがアクセスを許可され、該論理ステートメントが真でない場合、該ユーザーがアクセスを拒絶される、ことと
を含む、方法。
（項目２） 上記項目に記載の方法であって、任意のアクセスコントロールに対して、上記リンクされたデータソースへの接続が作られ得ない場合、該アクセスコントロールに対する上記真または真でない結果を真でないことに設定することをさらに含む、方法。
（項目３） 上記資産にアクセスするための上記ユーザーリクエストは、１つ以上の許可を該資産に行使するためのリクエストを含み、各許可は、該資産にまたは該資産を用いて行われ得る動作を明記する、上記項目のいずれかに記載の方法。
（項目４） 上記項目のいずれかに記載の方法であって、
上記アクセスコントロールポリシーを生成しまたは修正するためのリクエストを受信することと、
該リクエストを受信するのに応答して、該アクセスコントロールポリシーがなお存在しない場合、それを生成し、または該アクセスコントロールポリシーが既に存在する場合、それを上記記憶エリアから検索することと、
アクセスが該アクセスコントロールポリシーによってコントロールされるべき１つ以上の資産を選択することと、
該アクセスコントロールポリシーに含むように１つ以上のアクセスコントロールを選択することと、
該１つ以上のアクセスコントロールの上記論理関係を明記する上記論理ステートメントを編集することと、
該選択されたアクセスコントロールおよび該編集された論理ステートメントを含む該アクセスコントロールポリシーを該記憶エリアに保存することと
を含む、方法。
（項目５） 上記１つ以上の資産は、１つ以上の許可に関連し、各許可は、該資産のうちの１つにまたは該１つを用いて行われ得る動作を明記し、上記方法は、上記アクセスコントロールポリシーの含まれるものに対する該資産に関連する該許可のうちの１つ以上を選択することをさらに含み、選択された許可を該資産に行使するためのユーザーリクエストは、該アクセスコントロールポリシーの上記検索をトリガーする、上記項目のいずれかに記載の方法。
（項目６） 上記項目のいずれかに記載の方法であって、
上記１つ以上のアクセスコントロールのうちの１つを生成しまたは修正するためのリクエストを受信することと、
該リクエストを受信するのに応答して、該アクセスコントロールがなお存在しない場合、それを生成し、または該アクセスコントロールが既に存在する場合、それを上記記憶エリアから検索することと、
該アクセスコントロールにリンクされるべき１つ以上のデータソースを選択することであって、各データソースが、１つ以上の属性の各々に対する値を含み、各データソースの各属性が、同じまたは別のデータソースの各属性と異なるかもしれない、ことと、
各データソースに対して、該アクセスコントロールに含むように属性を１つ以上の属性から選択し、該アクセスコントロール内に該選択された属性に対する１つ以上のオプションを明記することと、
該アクセスコントロールを該記憶エリアに保存することと
を含む、方法。
（項目７） 上記項目のいずれかに記載の方法であって、各データソースに対して、上記データソースとそのリンクされたアクセスコントロールとの間の接続を、該データソースに対する位置情報を該リンクされたアクセスコントロールに入力することによって構成することをさらに含む、方法。
（項目８） 上記データソースは、データベースであり、該データベースのうち少なくとも１つの属性は、テーブルである、上記項目のいずれかに記載の方法。
（項目９） 上記データソースは、ウェブサービスである、上記項目のいずれかに記載の方法。
（項目１０） 上記資産は、電子ドキュメントである、上記項目のいずれかに記載の方法。
（項目１１） 資産へのアクセスを動的に管理するためのシステムであって、該システムは、
ユーザーによる使用可能なクライアントであって、該クライアントが、
資産へのアクセスをリクエストするアクセスコントロールリクエストを送信することと、
アクセス決定を受信することと、
該受信されたアクセス決定に基づいて該資産へのアクセスを認めまたは拒絶することと
を行うためである、クライアントと、
該アクセスコントロールリクエストを処理するように構成されるアクセスコントロールプロセスであって、該処理することが、
該アクセスコントロールリクエストを該クライアントから受信することと、
該アクセスコントロールリクエストを受信するのに応答して、該資産に関連するアクセスコントロールポリシーを記憶エリアから検索することであって、該アクセスコントロールポリシーが、１つ以上のアクセスコントロールと、互いに対して該１つ以上のアクセスコントロールの論理関係を明記する論理ステートメントとを含み、各アクセスコントロールが、属性に対する１つ以上の明記されたオプションを含み、該属性に対する値を含むデータソースにリンクされる、ことと、
該論理ステートメントを構文解析し、該論理ステートメントの各アクセスコントロールに対して、該アクセスコントロールが真かまたは真でない結果を有するのを決定することであって、該決定することが、
該リンクされたデータソースに接続することと、
該属性に対する該値を該データソースから検索することと、
該検索された値を該アクセスコントロールの該１つ以上の明記されたオプションと比較することであって、もし該検索された値が該明記されたオプションのうちの１つ以上にマッチするなら、該アクセスコントロールの結果が真であり、もし該検索された値が該明記されたオプションのうちの１つ以上にマッチしないなら、該アクセスコントロールの結果が真でない、ことと
によって行われる、ことと、
該論理関係に従って、該論理ステートメントの各アクセスコントロールに対する該真または真でない結果を処理することによって該論理ステートメントの真または真でないことを評価することと、
該アクセス決定を生成することであって、該論理ステートメントが真である場合、該アクセス決定が、該ユーザーがアクセスを認められることを明記し、該論理ステートメントが真でない場合、該アクセス決定が、該ユーザーがアクセスを拒絶されること明記する、ことと、
該アクセス決定を該クライアントに送信することと
によって行われる、アクセスコントロールプロセスと
を含む、システム。
（項目１２） 資産へのアクセスを動的に管理するためのプログラムを格納したコンピュータ読み取り可能な格納媒体であって、該プログラムは、
資産へのアクセスをリクエストするアクセスコントロールリクエストを送信することと、
アクセス決定を受信することと、
該受信されたアクセス決定に基づいて該資産へのアクセスを認めまたは拒絶することと
を行うようにユーザーによって動作可能なクライアントと、
該アクセスコントロールリクエストを処理するように構成されるアクセスコントロールプロセスであって、該処理することが、
該アクセスコントロールリクエストを該クライアントから受信することと、
該アクセスコントロールリクエストを受信するのに応答して、該資産に関連するアクセスコントロールポリシーを記憶エリアから検索することであって、該アクセスコントロールポリシーが、１つ以上のアクセスコントロールと、互いに対して該１つ以上のアクセスコントロールの論理関係を明記する論理ステートメントとを含み、各アクセスコントロールが、属性に対する１つ以上の明記されたオプションを含み、該属性に対する値を含むデータソースにリンクされる、ことと、
該論理ステートメントを構文解析し、該論理ステートメントの各アクセスコントロールに対して、該アクセスコントロールが真かまたは真でない結果を有するのを決定することであって、該決定することが、
該リンクされたデータソースに接続することと、
該属性に対する該値を該データソースから検索することと、
該検索された値を該アクセスコントロールの該１つ以上の明記されたオプションと比較することであって、もし該検索された値が該明記されたオプションのうちの１つ以上にマッチするなら、該アクセスコントロールの結果が真であり、もし該検索された値が該明記されたオプションのうちの１つ以上にマッチしないなら、該アクセスコントロールの結果が真でない、ことと
によって行われる、ことと、
該論理関係に従って、該論理ステートメントの各アクセスコントロールに対する該真または真でない結果を処理することによって該論理ステートメントの真または真でないことを評価することと、
該アクセス決定を生成することであって、該論理ステートメントが真である場合、該アクセス決定が、該ユーザーがアクセスを認められることを明記し、該論理ステートメントが真でない場合、該アクセス決定が、該ユーザーがアクセスを拒絶されること明記する、ことと、
該アクセス決定を該クライアントに送信することと
によって行われる、アクセスコントロールプロセスと
として該コンピュータを動作させる、媒体。
（項目１２Ａ） 上記システムは、有形記憶媒体上に格納されるコンピュータプログラム製品である、上記項目のいずれかに記載のシステム。
（項目１３） 上記アクセスコントロールプロセスは、上記アクセスコントロールリクエストを処理するための論理を用いて構成されるプロセッサーによってインプリメントされる、上記項目のいずれかに記載のシステム。
（項目１４） 上記資産にアクセスするための上記ユーザーリクエストは、１つ以上の許可を該資産に行使するためのリクエストを含み、各許可は、該資産にまたは該資産を用いて行われ得る動作を明記する、上記項目のいずれかに記載のシステム。
（項目１５） 上記項目のいずれかに記載のシステムであって、
ユーザーによる使用可能な管理者クライアントをさらに含み、該クライアントが、
上記アクセスコントロールポリシーを生成しまたは修正するためのリクエストを上記アクセスコントロールプロセスに送信することと、
ポリシーオプションのセットを該アクセスコントロールプロセスから受信することと、
１つ以上のポリシーオプションを該受信されたポリシーオプションのセットから選択することと、
上記論理ステートメントを編集することと、
該選択されたポリシーオプションおよび該論理ステートメントを該アクセスコントロールプロセスに送信することと
を行うためであり、
該アクセスコントロールプロセスが、該アクセスコントロールポリシーを生成しまたは修正するようにさらに構成され、該生成しまたは修正することが、
該アクセスコントロールポリシーを生成しまたは修正するための該リクエストを該クライアントから受信することと、
該リクエストを受信するのに応答して、該アクセスコントロールポリシーがなお存在しない場合、それを生成し、または該アクセスコントロールポリシーが既に存在する場合、それを上記記憶エリアから検索することと、
ポリシーオプションのセットを該クライアントに送信することであって、該ポリシーオプションが、アクセスがアクセスコントロールポリシーによってコントロールされ得る１つ以上の資産の資産リストと、該アクセスコントロールポリシーに含まれ得る１つ以上のアクセスコントロールのアクセスコントロールリストとを含む、ことと、
該選択されたポリシーオプションおよび該編集された論理ステートメントを該クライアントから受信することであって、該選択されたポリシーオプションが、１つ以上の資産の該リストからの１つ以上の選択された資産と、該アクセスコントロールリストからの１つ以上の選択されたアクセスコントロールとを含む、ことと、
該受信されたポリシーオプションおよび該編集された論理ステートメントを含む該アクセスコントロールポリシーを該記憶エリアに保存することと
によって行われる、システム。
（項目１６） 上記項目のいずれかに記載のシステムであって、
ユーザーによる使用可能な管理クライアントをさらに含み、該管理クライアントが、
上記アクセスコントロールのうちの１つを生成しまたは修正するためのリクエストを上記アクセスコントロールプロセスに送信することと、
コントロールオプションのセットを該アクセスコントロールプロセスから受信することと、
１つ以上のコントロールオプションを該受信されたコントロールオプションのセットから選択することと、
該選択されたコントロールオプションを該アクセスコントロールプロセスに送信することと
を行うためであり、
該アクセスコントロールプロセスが、該アクセスコントロールを生成しまたは修正するようにさらに構成され、該生成しまたは修正することが、
該アクセスコントロールを生成しまたは修正するための該リクエストを該クライアントから受信することと、
該リクエストを受信するのに応答して、該アクセスコントロールがなお存在しない場合、それを生成し、または該アクセスコントロールが既に存在する場合、それを上記記憶エリアから検索することと、
コントロールオプションのセットを該クライアントに送信することであって、該コントロールオプションが、該アクセスコントロールにリンクされ得るデータソースのソースリストを含み、各データソースが１つ以上の属性の各々に対する値を含み、各データソースの各属性が、同じまたは別のデータソースの各属性と異なるかもしれない、ことと、
該選択されたコントロールオプションを該クライアントから受信することであって、該選択されたコントロールオプションが、該ソースリストからの１つ以上の選択されたデータソースと、各選択されたデータソースに対する該データソースからの１つ以上の選択された属性と、各選択された属性に対する１つ以上のオプションとを含む、ことと、
該受信されたコントロールオプションを含む該アクセスコントロールを該記憶エリアに保存することと
によって行われる、システム。
（項目１７） 上記データソースは、データベースである、上記項目のいずれかに記載のシステム。
（項目１８） 上記データソースは、ウェブサービスである、上記項目のいずれかに記載のシステム。
（項目１９） 上記資産は、上記システムのハードウェア部品である、上記項目のいずれかに記載のシステム。
（項目２０） 上記資産は、電子ドキュメントである、上記項目のいずれかに記載のシステム。
【０００９】
（摘要）
データベースまたはウェブサービスのようなデータソースにリンクされる１つ以上の動的アクセスコントロールを含むポリシーを用いて、電子ドキュメントまたはハードウェア部品のような資産へのアクセスを動的に管理するための方法およびシステム。アクセスコントロールは、毎回、ポリシーが発動されるゆえに、動的であり、ポリシーおよびその構成要素アクセスコントロールは、リンクされたデータソースの現在の情報に対して評価されなければならない。
【図面の簡単な説明】
【００１０】
【図１】図１は、本発明の実施形態の例示的ポリシーの生成および修正システムのブロックダイヤグラムを描く。
【図２】図２は、本発明の実施形態に従う動的アクセスコントロールの生成または修正を説明するフローチャートである。
【図３】図３は、本発明の実施形態に従う動的アクセスコントロールの生成ウィザードを説明するスクリーンショットである。
【図４】図４は、本発明の実施形態に従って動的アクセスコントロールを含む動的ポリシーの生成および修正を説明するフローチャートである。
【図５】図５は、本発明の実施形態に従う動的ポリシーの生成ウィザードを説明するスクリーンショットである。
【図６】図６は、本発明の実施形態に従う動的アクセスコントロールの検証を説明するフローチャートである。
【発明を実施するための形態】
【００１１】
（好ましい実施形態の詳細な記述）
本発明は、電子ドキュメント、ハードウェア部品等のような資産に対するアクセスコントロールおよびポリシーを動的に管理するための方法およびシステムを対象とする。ポリシーは、データベース、ウェブサービス等のようなデータソースにリンクされる１つ以上の動的アクセスコントロールを含む。アクセスコントロールは、毎回、ポリシーが発動されるゆえに、動的であり、ポリシーおよびその構成要素アクセスコントロールは、データソース（複数可）の現在の情報に対して評価されなければならない。従って、従来の静的アクセスコントロールリストと違って、動的アクセスコントロールは、特定のイベントまたは外部刺激が生じるとき、ほとんどリアル時間で変化に動的かつ自動に適応するのを可能にし、従って、アクセスコントロールが、それらの自身でアクセスコントロールまたはポリシーを変えるためのニーズがなく、常に現在のニーズを関して最新であることを確保する。さらに、方法およびシステムは、企業の至るところに資産を保護するために使われている複数のアクセスコントロールによって作られる粒度の（ｇｒａｎｕｌａｒ）精度の高いレベルでの中央コントロールを可能にする。
【００１２】
アクセスコントロールが、データソースのデータ属性の値に基づくゆえに、アクセスコントロールは、ユーザーが誰であるのに基づくアクセスを認める静的ルールではなく、むしろ代わりに、ユーザーに関する情報の検証に基づくアクセスを認める動的ルールである。例えば、ポリシーは、秘密またはより高いセキュリティクリアランスで従業員へのアクセスを制限し、セキュリティクリアランスステータスを含む従業員データベースにリンクされる動的アクセスコントロールを含み得る。従業員が、例えば機密からトップ秘密へのセキュリティクリアランスの昇進を受け取り、または例えば秘密から機密へのセキュリティクリアランスの降格を受け取るとき、次に、動的アクセスコントロールは、従業員データベースからこの情報を自動に得、そしてポリシーは、適切であるようにその従業員へのファイルアクセスを許可しまたは拒絶するように更新される。従って、アクセスコントロールポリシーは、常に最新であり、アクセスコントロールデータの変化に自動に適応する。
【００１３】
ここで、図面を参照すると、本発明の実施形態に従うアクセスコントロールの動的管理を使用する例示的システムは、図１で説明される。図１に示されるシステムは、特に、ネットワークまたはインターネットにわたるアクセスコントロールポリシーの動的管理に適され、しかし、本実施形態のシステムが、そのように制限されなく、非ネットワークまたは内蔵型のシステムに使われ得ることは理解されるべきである。
【００１４】
描かれたシステム６０は、アクセスコントロールプロセス１０と、関連する共有または働くメモリー２０と、ディレクトリ３１、ウェブサービス３２、およびユーザーデータベース３３を含むデータソースと、ポリシーおよびアクセスコントロール情報を格納するためのデータ記憶エリア４０と、１つ以上の資産５１、５２とを含み、それらが、オプションなネットワーク１２、１４、１６にわたって互いおよびクライアント５に接続される。システム６０は、追加のサーバー、クライアント、および示されていない他のデバイスを含み得、システムの個々の構成要素は、単独かまたは複数で存在し得、例えば、２つ以上のデータ記憶エリアがあり得る。
【００１５】
概して、クライアント５は、ポリシー管理システム６０によって提供される機能、例えば、システムからのポリシーを生成し、観察し、適用し、そしてエクスポートするためのメカニズム等のためのインターフェースを提供する。クライアント５は、「目に見える」または「目に見えない」インターフェースをシステムに提供するように構成され得る。例えば、第１の実施形態において、クライアント５は、エンドユーザーにポリシー管理システムに対する目に見えないインターフェースを提供し、それにおいて、エンドユーザーは、エンドユーザーがシステムを知ることさえもなく、アクセスがシステムによって管理されるポリシーによってコントロールされる資産にアクセスしまたは操作することを可能にする。このような実施形態において、クライアント５はまた、システム管理者が、例えば、システムからのポリシーを生成し、観察し、適用し、そしてエクスポートすることを可能にするように、システム管理者にシステムに対する目に見えるインターフェースを提供する。例えば、エンドユーザーは、実験室の施設にアクセスするために、ポリシー管理システムを知らなくても、（例えば、アクセスカードを通しまたはキーパッド入力を許可するための）電子アクセスパネルのようなクライアントデバイスを使い得、その一方で、システム管理者は、自身でシステムにアクセスするためのコンピュータ端末のようなクライアントデバイスを使い得る。第２の実施形態において、クライアント５は、エンドユーザーおよび管理者にシステムに対する目に見えるインターフェースを提供し、しかし、管理者は、エンドユーザーに対して利用不可能である追加のオプション（例えば、ポリシーを削除しまたはエクスポートすること）を提供され得る。
【００１６】
アクセスコントロールプロセス１０は、システム６０によって管理されるポリシーを生成し、修正し、圧縮保存し、削除しまたは取り除くために構成される適用プログラムを提供し得、ポリシー管理、アクセスコントロール、およびサーチを行うための機能のために使われるツールと、システム６０によって管理されるポリシーに関連する他のオプションと含み得る。ユーザーが特定のアクセスコントロールポリシーにアクセスするとき、それは、データ記憶エリア４０からメモリー２０内にロードされ、それにより、ポリシーが、アクセスコントロールプロセス１０に必要とされるように更新され得る。メモリー２０は、任意の従来または他のメモリーまたは記憶デバイスによってインプリメントされ得、揮発性（例えば、ＲＡＭ、キャッシュ、フラッシュ等）、または不揮発性（例えば、ＲＯＭ、ハードディスク、光学記憶装置等）であり得、他の適切な記憶キャパシティーを含み得る。
【００１７】
ネットワーク１２、１４、１６は、任意量の任意の適切な通信メディア（例えば、ＷＡＮ、ＬＡＮ、インターネット、イントラネット、有線、無線等）によってインプリメントされ得る。本実施形態のコンピュータシステムは、任意の従来または他のプロトコールを介してネットワークにわたって通信するための任意の従来または他の通信デバイスを含み得、ネットワークへのアクセスのための任意タイプの接続（例えば、有線、無線等）を利用し得る。クライアント５、アクセスコントロールプロセス１０、メモリー２０、データソース３１、３２、３３、データ記憶システム４０および資産５１、５２のうちのどれが、システム６０の１つ以上の構成要素に対してローカルであり得、１つ以上のネットワーク１２、１４、１６を介してシステム６０の１つ以上の他の構成要素から遠く離れ得、そしてそれらと通信し得ることは理解される。
【００１８】
データソース３１、３２、３３は、所望のやり方でシステムを動作させるのに必要とされるような任意の適切な数およびタイプのデータソースであり得る。データソースは、企業データソース（例えば、ＤＢ２、Ｏｒａｃｌｅ、ＩＢＭ Ｅｎｔｅｒｐｒｉｓｅ Ｃｏｎｔｅｎｔ Ｍａｎａｇｅｍｅｎｔ（ＥＣＭ）システム、ＥＲＰシステム等）、個人およびイントラ組織データソース（例えば、ｓｐｒｅａｄｓｈｅｅｔｓ（例えば、Ｍｉｃｒｏｓｏｆｔ Ｅｘｃｅｌ）またはデータベース（例えば、Ｍｉｃｒｏｓｏｆｔ Ａｃｃｅｓｓ、ＭｙＳＱＬ、Ｓｈａｒｅｐｏｉｎｔ、Ｑｕｉｃｋｒ、ＸＭＬ等））、公開データベースのようなウェブベースデータソース（例えば、税金記録、不動産記録、裁判所文書等）、ウェブサービス等を含み得る。データ記憶システム４０は、任意量の任意タイプの従来または他のデータベース（例えば、ネットワーク、階層、関係、オブジェクト等）または記憶構造（例えば、ファイル、データ構造、ウェブベース記憶、ディスクまたは他の記憶等）によってインプリメントされ得る。
【００１９】
資産５１、５２は、セキュリティが望まれる任意タイプの資産であり得、物理的、電子的、または他の適切な形式であり得る。例示的物理資産は、建物のような施設、実験室またはファイルルームのようなワークスペース、自動車またはオートバイのような乗り物、コンピュータのようなオフィス設備、複写機のようなモデム、ルームのようなエリアまたは構造、ガレージのようなキャビネット、デバイス内の個々のハードウェア部品等を含み得る。例えば、システムおよび方法は、ハードウェアアイテムに対する使用およびアクセスをコントロールするために使われ得、例えば、コンピュータネットワークカードにアクセスするためのユーザー能力は、動的ポリシーによってコントロールされ得、施設内の施設またはエリアへのアクセスをコントロールするために使われ得、例えば、化学研究の環境において、認可された職員に対して危険な化学薬品を含む貯蔵エリアへのアクセスに制限することが望ましいかもしれない。
【００２０】
例示的電子資産は、データベース、電子ドキュメント、サーバーアクセス、ソフト適用、ユーザープロフィール等を含み得る。電子ドキュメントは、ＨＴＭＬおよびＸＭＬウェブ内容、ドキュメントイメージ、電子記録、データベース記録、ワード処理ドキュメント、プレゼンテーションスライド、オフィスドキュメント、ｅ−ｍａｉｌメッセージまたはアーカイブ、ゲーム、テキストデータ、電子書籍、グラフ、オーディオ、ビデオ、ＳＭＳまたはＭＭＳメッセージ、情報の他のデジタル表示、および／またはそれらの組み合わせのような、しかし制限されない現在に公知また後に開発される任意タイプの電子ファイルまたはデータであり得る。例えば、システムおよび方法は、例えば、一定のユーザーのみが、明記された基準を満たした後にだけ、ビデオまたはオーディオファイルにアクセスするための権利を有するシステムにおいて、デジタル権利コントロールをファイルに提供するために使われ得る。
【００２１】
コンピュータシステムまたはネットワークへのアクセスは、これらの実施形態によってコントロールされる資産でもあり得る。例えば、ポリシーは、コンピュータシステムまたはネットワークの正しい使用および／または誤用を定義するアクセスコントロールで定義され得、ユーザーがシステム内またはシステムの間に相互作用するようなリアル時間のアクセスを認めまたは拒絶するようにセットアップされ得る。システムおよび方法は、例えば、データソースのようなパスポートデータベース、拒絶されたパーティーリスト、または犯罪記録データベースを有することによって、識別チェックのために使われ得る。
【００２２】
ここで、図２を参照すると、管理者は、前に記述されるシステム、特に図２のステップを行うためのアクセスコントロールプロセス１０を使い得、参照数字１００が、概して、動的アクセスコントロールを生成しまたは修正するためのプロセスを描くフローチャートを明示する。プロセスは、１０５で開始し、そしてステップ１１０において、アクセスコントロールが既に存在するか否かを決定し、存在する場合、アクセスコントロールをメモリー内にロードし、そしてステップ１３０へ進む。存在しない場合、新しいアクセスコントロールは、ステップ１１５において生成され、その名前およびタイプは、ステップ１２０において選択される。名前は、任意の適切な名前であり得、例えば、従業員のタイプに基づくアクセスコントロールが、「Ｅｍｐｌｏｙｅｅ Ｔｙｐｅ」で呼ばれ得、時間および日付に基づくアクセスコントロールが、「Ａｃｃｅｓｓ Ｔｉｍｅ」で呼ばれ得る等。アクセスコントロールのタイプは、アクセスコントロールがどうやってアクセスポリシーで使われ得ることを指し、例えば、単一のオプションが選択され得、複数のオプションが選択され得、または論理ステートメントがアクセスコントロールに適用され得ることを表示するオプションであり得る。ステップ１２５において、名前は、それがシステムにおいて唯一であることを確保するためにチェックされ、そうではない場合、プロセスは、新しい名前を選択するためにステップ１２０に回帰する。いったん唯一の名前が決定されると、アクセスコントロールは、メモリー内にロードされ、そしてプロセスは、ステップ１３０へ進む。
【００２３】
ステップ１３０において、管理者は、データソースを選択する。データソースは、アクセスコントロールによって使われる情報、例えば、従業員に関する情報、アクセスが認められ得、そして／または拒絶され得る状態に関する情報等を含みまたは得る任意のソースであり得る。データソースは、値を有する少なくとも１つの属性を含み、例えば、従業員データベースは、フルータイム、パートタイム、契約者またはインターンの可能な値を有する従業員ステータス属性と、Ｎｅｗ Ｙｏｒｋ Ｏｆｆｉｃｅ、Ｃａｌｉｆｏｒｎｉａ Ｏｆｆｉｃｅ等の可能な値を有するワーク位置属性と含み得る。望まれるアクセスコントロールのタイプに依存して、異なるソースが使われ得る。ステップ１４０において、管理者は、例えば、位置、認証情報、および属性名を用いてデータソースへの接続を構成する。例えば、データソースがウェブサービスである場合、接続を構成することは、サービス、ポート、ユーザー名とパスワードとのような認証情報、適用されるべき属性名（例えば、時間、温度、従業員タイプ、セキュリティクリアランスレベル、部門、ワーク位置等）にアクセスするための場合、ＩＰアドレスまたは他の位置を入力するのに必要とし得る。
【００２４】
ステップ１５０において、管理者は、アクセスコントロールのためのオプションを構成する。オプションは、アクセスコントロールタイプ、選択されるデータソース、データソースの属性に依存する。例えば、アクセスコントロールが、従業員情報に基づき、選択されたデータソースが、セキュリティクリアランス属性を含む従業員情報のアクティブディレクトリである場合、属性の可能な値は、例えば、なし、ＦＯＵＯ、機密、秘密、トップ秘密等を含む。利用可能なオプションは、可能な値、例えば、秘密クリアランスに直接にマッチし得、または複数の値、例えば、秘密、トップ秘密、およびより高いレベルのクリアランスにマッチする秘密またはより高いクリアランスにマッチし得る。例えば、アクセスコントロールが日付および時間ベースである場合、選択されたデータソースは、日付および時間の属性を提供するウェブサービスであり、管理者は、週の日（例えば、営業日のみ、毎日、一日おき、週末のみ等）のような日付属性のためのオプションを構成し得、午前、午後、夕方、営業時間等のような時間属性のためのオプションを構成し得る。
【００２５】
ステップ１６０は、管理者は、アクセスコントロールの利用可能性、例えば、アクセスポリシーの使用のためにこのアクセスコントロールを選択し得るユーザーのリスト、またはこのアクセスコントロールが現れる位置のリストを構成する。ステップ１７０において、アクセスコントロールが保存され、そしてステップ１７５でこのプロセスが終了する。
【００２６】
アクセスコントロールを生成するためのプロセス１００の実施形態を説明する例示的Ｇｒａｐｈｉｃ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ （ＧＵＩ）は、例示的「Ｅｍｐｌｏｙｅｅ Ｔｙｐｅ」アクセスコントロールに関連して、図３に示される。参照ポイント１で、管理者は、アクセスコントロール名を入力し、このアクセスが、複数のオプションがこのアクセスコントロールのために選択され得ることを意味する「Ｍｕｌｔｉｐｌｅ Ｓｅｌｅｃｔ」タイプを有することを指示する。参照ポイント２で、管理者は、この場合においてデータソースのようなアクティブディレクトリを選択し、そしてＩＰアドレス、ポート、ユーザー名、パスワード、および望まれた情報がデータソースに見つけられ得る場所を指示する属性名を入力することによって、このアクセスコントロールのためのデータソースを構成する。管理者は、入力される情報が有効であるか否かを決定するために、この時間での接続もテストし得る。
【００２７】
参照ポイント３で、管理者は、この場合において選択され得るさまざまな選択肢、例えば、「Ｆｕｌｌ Ｔｉｍｅ」、「Ｐａｒｔ Ｔｉｍｅ」または「Ｃｏｎｔｒａｃｔｏｒ」を加えることによって、アクセスコントロールのためのオプションを構成する。参照ポイント４で、管理者は、例えば、アクセスポリシーの使用のためにこのアクセスコントロールを選択し得るユーザーのリスト、またはこのアクセスコントロールが現れる位置のリスト等を明記することによって、アクセスコントロールの利用可能性を構成する。参照ポイント５で、管理者は、このアクセスコントロールを保存し得または適用し得る。
【００２８】
ここで、図４を参照すると、管理者は、前に記述されるシステム、特に図４のステップを行うためのアクセスコントロールプロセス１０を使い得、参照数字２００が、概して、動的アクセスポリシーを生成しまたは修正するためのプロセスを描くフローチャートを明記する。プロセスは、２０５で始まり、そしてステップ２１０において、ポリシーが既に存在するか否かを決定し、存在する場合、ポリシーをメモリー内にロードし、そしてステップ２２０に進む。存在しない場合、プロセスは、ステップ２１５で新しいポリシーを生成する。ステップ２２０において、管理者は、ポリシーが適用される１つ以上の資産を選択する。
【００２９】
ステップ２３０において、管理者は、ポリシーが適用される許可または（複数）許可を選択する。これらの許可は、ポリシーによって保護される資産の性質に依存して変わり得、例えば電子ドキュメントに対して、許可は、「Ｏｐｅｎ」または「Ｒｅａｄ」、「Ｗｒｉｔｅ」、「Ｅｘｅｃｕｔｅ」、「Ｐｒｉｎｔ」等のような標準ファイル許可であり得る。異なるタイプの資産に対して、例えば保護される資産が実験室への入室である場合、許可は、「Ｓｅｌｆ Ａｄｍｉｔ」、「Ａｄｍｉｔ ｗｉｔｈ Ｇｕｅｓｔ」、「Ｇｒａｎｔ Ａｄｍｉｓｓｉｏｎ ｔｏ Ｏｔｈｅｒｓ」等であり得る。
【００３０】
ステップ２４０において、管理者は、ポリシーに加えられることが可能な１つ以上のアクセスコントロールを選択し、各アクセスコントロールのための利用可能なオプションから選択し得る。例えば、図３に描かれる例示的「Ｅｍｐｌｏｙｅｅ Ｔｙｐｅ」アクセスコントロールに対して、利用可能なオプションは、「Ｆｕｌｌ Ｔｉｍｅ」、「Ｐａｒｔ Ｔｉｍｅ」、「Ｃｏｎｔｒａｃｔｏｒ」および「Ｉｎｔｅｒｎ」を含む。例示的「Ｓｅｃｕｒｉｔｙ Ｃｌｅａｒａｎｃｅ」アクセスコントロールに対して、利用可能なオプションは、「ｎｏｎｅ」、「ＦＯＵＯ」、「ｃｏｎｆｉｄｅｎｔｉａｌ」、「ｓｅｃｒｅｔ」、および「ｔｏｐ ｓｅｃｒｅｔ」を含み得る。例として、望ましいポリシーが、一定のドキュメントにアクセスするためのＦＯＵＯまたはより高いセキュリティクリアランスを有する一定タイプの従業員を許可するようである場合、管理者は、「Ｅｍｐｌｏｙｅｅ Ｔｙｐｅ」アクセスコントロールのための「Ｆｕｌｌ Ｔｉｍｅ」、「Ｐａｒｔ Ｔｉｍｅ」および「Ｃｏｎｔｒａｃｔｏｒ」オプションを選択し得、「Ｓｅｃｕｒｉｔｙ Ｃｌｅａｒａｎｃｅ」アクセスコントロールのための「ＦＯＵＯ」（Ｆｏｒ Ｏｆｆｉｃｉａｌ Ｕｓｅ Ｏｎｌｙ）を選択し得る。
【００３１】
ステップ２５０において、管理者は、ＡＮＤ、ＯＲおよびＮＯＴのような論理表現を用いて、１つ以上のアクセスコントロールとそれらの間の関係とを明記する論理ステートメントを生成しまたは編集し得る。例えば、一定のドキュメントにアクセスするためのＦＯＵＯまたはより高いセキュリティクリアランスを有する一定タイプの従業員を許可する例示的ポリシーに対して、管理者は、以下の論理ステートメント：Ｅｍｐｌｏｙｅｅ Ｔｙｐｅ ＡＮＤ Ｓｅｃｕｒｉｔｙ Ｃｌｅａｒａｎｃｅを入力し得る。
【００３２】
ステップ２６０において、管理者は、ポリシーを保存し得、オプション的にステップ２７０において、管理者は、アクセスコントロールを起こすために、ポリシーを資産に適用し得る。プロセスは、２７５で終了する。ポリシーが資産に適用されるとき、任意の個々に資産にアクセスしようとすることは、それらが資産にアクセスすることを許可される前に、望ましい許可のためのポリシーの全部のアクセスコントロールを満たさなければならない。
【００３３】
ポリシーを生成するためのプロセス２００の実施形態を説明する例示的Ｇｒａｐｈｉｃ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ （ＧＵＩ）は、例示的ポリシーに関連して、図５に示される。参照ポイント１で、管理者は、このポリシーが適用する許可、この例において「Ｏｐｅｎ」と「Ｐｒｉｎｔ」を選択する。参照ポイント２で、管理者は、ポリシーに加えられることが可能な１つ以上のアクセスコントロール、例えば、「Ｅｍｐｌｏｙｅｅ Ｔｙｐｅ」アクセスコントロールを選択し、そのアクセスコントロールのための利用可能なオプションから、例えば、「Ｆｕｌｌ Ｔｉｍｅ」、「Ｐａｒｔ Ｔｉｍｅ」、および「Ｃｏｎｔｒａｃｔｏｒ」を選択する。参照ポイント３で示されるように、ＧＵＩは、加えられる選択されたアクセスコントロールをディスプレイするパネルを含み得る。この場合において、「Ｐｒｏｊｅｃｔ Ｎａｍｅ」、「Ｓｅｃｕｒｉｔｙ Ｃｌｅａｒａｎｃｅ」および「Ａｃｃｅｓｓ Ｔｉｍｅ」アクセスコントロールは、既に選択される。参照ポイント４で、ＧＵＩは、管理者が論理ステートメントを生成することを許可する。参照ポイント５で、管理者は、ポリシーを保存し得、ポリシーを適用し得、またはＧＵＩを終了し得る。
【００３４】
ここで、図６を参照すると、参照数字３００は、概して、動的アクセスコントロールポリシーを確認するためのプロセスを描くフローチャートを明記し、フローチャートが、前に記述されるシステム、特にアクセスコントロールプロセス１０によって行われ得る。プロセスは、３０５で始まり、資産にアクセスし、または資産に特定の許可を行使するために、ユーザーリクエストによってトリガーされ得る。ステップ３１０において、プロセスは、資産に適用するポリシーを検索し、そしてステップ３１５において、論理ステートメントを構文解析し、かつステートメント内に見つけられるアクセスコントロールの各々をロードする。
【００３５】
各アクセスコントロールは、次に、ステップ３２０から３４５までを用いて個々に処理される。ステップ３２０で、アクセスコントロールが選択され、そしてステップ３２５で、そのアクセスコントロールに対するデータソースへの接続がロードされる。ステップ３３０で、プロセスは、接続が確立されたか否かを決定し、された場合、ステップ３３５へ進む。されていない場合、プロセスは、ステップ３５５へ進む。ステップ３３５で、システムは、リクエストするユーザーに関連する構成された属性値（複数可）をデータソースから検索し、そしてステップ３４０において、検索された値（複数可）をポリシーによって明記されるオプションと比較する。例えば、「Ｅｍｐｌｏｙｅｅ Ｔｙｐｅ」アクセスコントロールに対して、検索された値は、ポリシーの明記されたオプションに一致する「Ｆｕｌｌ Ｔｉｍｅ」であり得る。ステップ３４５で、システムは、プロセスのための他のアクセスコントロールがあるか否かを決定し、ある場合、ステップ３２０に戻る。ない場合、システムは、ステップ３５０へ進む。
【００３６】
ステップ３５０において、システムは、関連するアクセスコントロールの各々が真または真でない値を有するか否かに基づいて、最終結果が真または真でないか否かを決定するために論理ステートメントを評価する。ステップ３５５において、ユーザーがアクセスを許可されるか否かを決定し、例えば、全部の値が真であり、ユーザーがアクセスを認められ得るか、または真でない場合においてユーザーがアクセスを拒絶されるかを決定するために評価される。真の場合、ユーザーは、ステップ３６０においてアクセスを許可され、そしてプロセスは、ステップ３６５で終了する。真でない場合、ユーザーは、アクセスを拒絶され、そしてプロセスは、ステップ３６５で終了する。
【００３７】
描かれる例は、動的アクセスコントロールを生成しまたは修正し、アクセスコントロールポリシーを生成しまたは修正するための２つ別々のプロセスを記述し、かつ説明するが、これらのプロセスは、単一のプロセス内に組み合わせられ得、または任意の適切な方式で２つまたはより多いプロセスに分けられ得る。前述およびフローチャートに説明されるソフトウェアおよび／またはアルゴリズムは、本明細書に記述される機能を達成する任意の方式で修正され得る。加えて、フローチャートまたは記述の機能は、所望の動作を達成する任意の命令で行われ得る。
【００３８】
本発明の実施形態は、完全にハードウェア実施形態、完全にソフトウェア実施形態またはハードウェアおよびソフトウェア要素の両方を含む実施形態の形を取り得る。好ましい実施形態において、本発明は、ファームウェア、常駐ソフトウェア、マイクロコード等を含み、しかし制限されないソフトウェアでインプリメントされる。ソフトウェアは、記録可能な媒体（例えば、磁気的、光学的、フロッピー（登録商標）、ＤＶＤ、ＣＤ等）で利用可能または通信媒体（例えば、ネットワーク、ＬＡＮ、ＷＡＮ、イントラネット、インターネット等）を介してソースからダウンロードするためのキャリア波または信号の形であり得る。ソフトウェアは、動作するシステムまたは特定の適用、部品、プログラム、モジュール、オブジェクト、または命令順序の一部分であり得る。
【００３９】
ソフトウェアが、任意の所望のコンピュータ言語でインプリメントされ得、図面で説明される詳説およびフローチャートに含まれる機能の記述に基づいてコンピュータ技術の当業者によって開発され得ることは理解されるべきである。例のみとして、ソフトウェアは、Ｃ＃、Ｃ＋＋、Ｐｙｔｈｏｎ、Ｊａｖａ（登録商標）、ＸＭＬ、またはＰＨＰプログラミング言語でインプリメントされ得、データ記憶は、ＭｙＳＱＬ、Ｏｒａｃｌｅ、ＳＱＬ Ｓｅｒｖｅｒ、ＩＢＭ ＤＢ２、Ｉｎｆｏｒｍｉｘまたはフラットデータベース等でインプリメントされ得る。さらに、さまざまな機能を行うソフトウェアに対する本明細書での任意の参照文献は、概して、ソフトウェアコントロールの下でそれらの機能を行うコンピュータシステムまたはプロセッサーに関連する。
【００４０】
コンピュータシステムは、代替的に、任意タイプのハードウェアおよび／または他の処理回路でインプリメントされ得る。コンピュータシステムのさまざまな機能は、任意量のソフトウェアモジュールまたはユニット、処理またはコンピュータシステム、オブジェクト、データ構造および／または回路の間の任意の方式で分配され得、コンピュータまたは処理システムが、ローカルにまたは互いに遠く離れて配置され得、任意の適切な通信媒体（例えば、ＬＡＮ、ＷＡＮ、イントラネット、インターネット、ハードワイヤ、モデム接続、無線等）を介して通信し得る。
【００４１】
さらに、本実施形態は、コンピュータまたは他の命令実行システムによりまたはそれらとの接続での使用のためのプログラムコードを提供するコンピュータ使用可能またはコンピュータ読み取り可能な媒体からアクセス可能なコンピュータプログラム製品の形を取り得る。この記述の目的に対して、コンピュータ使用可能またはコンピュータ読み取り可能な媒体は、命令実行システム、装置、またはデバイスによりまたはそれらとの接続での使用のためのプログラムを含み得、格納し得、通信し得、伝播し得または輸送し得る任意の装置であり得る。媒体は、電子的、磁気的、光学的、電磁気的、赤外線、または半導体システム（または装置またはデバイス）または伝播媒体であり得る。コンピュータ読み取り可能な媒体の例は、半導体または固体状態のメモリー、磁気テープ、取り除き可能なコンピュータディスケット、ランダムアクセスメモリー（ＲＡＭ）、読み取り専用のメモリー（ＲＯＭ）、硬直の磁気ディスクおよび光学ディスクを含む。光学ディスクの現在の例は、コンパクトディスク（読み取り専用メモリー）（ＣＤ−ＲＯＭ）、コンパクトディスク（読む／書く）（ＣＤ−Ｒ／Ｗ）およびＤＶＤを含む。望ましい実施形態において、コンピュータ使用可能またはコンピュータ読み取り可能な媒体は、有形媒体である。
【００４２】
プログラムコードを格納し、そして／または実行するのに適切な処理システムは、ディスプレイまたはモニター、（例えば、プロセッサー、メモリーおよび／または内部または外部の通信デバイス（例えば、モデム、ネットワークカード等）およびオプション的な入力デバイス（例えば、キーボード、マウスまたは他の入力デバイス）を含む）ベースを好ましく装備される任意の従来または他のコンピュータまたは処理システムでインプリメントされ得る。システムは、システムバスを通して直接または間接にメモリー要素と結合される少なくとも１つのプロセッサーを含み得る。メモリーは、任意の従来または他のメモリーまたは記憶デバイス（例えば、ＲＡＭ、キャッシュ、フラッシュ等）でインプリメントされ得、任意の適切な記憶キャパシティーを含み得る。メモリー要素は、プログラムコードの実際の実行の間に使用されるローカルメモリー、バルク記憶装置、および実行の間にバルク記憶装置から検索されるべき時間コードの数を減らすために、少なくともいくつかのプログラムコードの一時的な記憶域を提供するキャッシュメモリーを含み得る。（キーボード、ディスプレイ、ポインティングデバイス等を含み、しかし制限しない）入力／出力またはＩ／Ｏデバイスは、直接かまたは間にあるＩ／Ｏコントローラを通してシステムと結合され得る。ネットワークアダプターはまた、処理システムが間にあるプライベートまたは公共ネットワークを通して他の処理システムまたはリモートプリンターまたは記憶デバイスと結合されるようになることを可能にするために、システムと結合され得る。モデム、ケーブルモデムまたはイーサネット（登録商標）カードは、ただ少数の現在に利用可能なタイプのネットワークアダプターである。
【００４３】
エンドユーザーシステムは、任意量の従来または他のコンピュータシステムまたはデバイス（例えば、コンピュータ端末、個人コンピュータ（例えば、ＩＢＭ−ｃｏｍｐａｔｉｂｌｅ、Ａｐｐｌｅ ＭａｃＩｎｔｏｓｈ、タブレット、ラップトップ等）等）、セルラー電話、個人データアシスタント（例えば、Ｐａｌｍ Ｐｒｅ、Ｄｒｏｉｄ、ｉＰｈｏｎｅ等）等でインプリメントされ得、任意の市販で利用可能な動作するシステム（例えば、ＡＩＸ、Ａｎｄｒｏｉｄ、Ｌｉｎｕｘ、ＯＳＸ、Ｓｕｎ Ｓｏｌａｒｉｓ、Ｕｎｉｘ（登録商標）、 Ｗｉｎｄｏｗｓ（登録商標）等）および任意の市販で利用可能またはカスタムソフトウエア（例えば、ブラウザソフトウェア、通信ソフトウェア、ワード処理ソフトウェア等）を含み得る。これらのシステムは、情報を入力し、そして／またはビューするためのディスプレイおよび入力デバイス（例えば、キーボート、マウス、音声認識等）を含み得る。エンドユーザーシステムは、プロセスおよびデータ記憶エリアに対してローカルであり得、またはネットワークを介してサーバーおよびデータ記憶エリアから遠く離れ得、かつそれらと通信し得る。
【００４４】
ネットワークは、任意量の任意の適切な通信メディア（例えば、ＷＡＮ、ＬＡＮ、インターネット、イントラネット、有線、無線等）でインプリメントされ得る。コンピュータシステムは、任意の従来または他のプロトコールを介してネットワークにわたって通信するための任意の従来または他の通信デバイスを含み得、ネットワークへのアクセスのための任意タイプの接続（例えば、有線、無線等）を利用され得る。
【００４５】
本発明の好ましい実施形態の前の開示は、例示および記述の目的のために示される。それは、完全であり、または開示される正確な形式に対して本発明を制限するように意図されない。本明細書に記述される実施形態の多くのバリエーションおよび修正は、当業者にとって、上の本開示を考慮して明白である。本発明の範囲は、本明細書に添えられた特許請求範囲によりだけではなく、それらの同等物によっても規定されるべきである。
【００４６】
さらに、本発明の代表的な実施形態を記述するのにおいて、詳説は、本発明の方法および／またはプロセスをステップの特定の順序として示し得る。しかし、方法またはプロセスが本明細の前のステップセットの特定の命令に頼らない範囲に対して、方法またはプロセスは、記述されるステップの特定の順序に制限されるべきではない。当業者が認識するように、ステップの他の順序が可能であり得る。そのゆえに、詳説において前のステップセットの特定の命令は、請求範囲上の制限として構成されるべきではない。加えて、本発明の方法および／またはプロセスに対象とする請求範囲は、書かれた命令のそれらのステップの性能に制限されるべきではなく、当業者は、順序が変えられ得、なお本発明の真意および範囲内に残り得ることを容易に認識し得る。
【符号の説明】
【００４７】
５ クライアント
１０ ロールマネージャープロセス
１２、１４、１６ ネットワーク
２０ メモリー
３１ ディレクトリ
３２ ウェブサービス
３３ ユーザーデータベース
３４ フラットファイル
４０ データ記憶エリア
５０ システム
５１、５２ 資産
【特許請求の範囲】
【請求項１】
資産へのアクセスを動的に管理するための方法であって、該方法は、
資産にアクセスするためのユーザーリクエストを受信することと、
該ユーザーリクエストを受信するのに応答して、該資産に関連するアクセスコントロールポリシーを記憶エリアから検索することであって、該アクセスコントロールポリシーが、１つ以上のアクセスコントロールと、互いに対して該１つ以上のアクセスコントロールの論理関係を明記する論理ステートメントとを含み、各アクセスコントロールが、属性に対する１つ以上の明記されたオプションを含み、該属性に対する値を含むデータソースにリンクされる、ことと、
該論理ステートメントを構文解析し、該論理ステートメントの各アクセスコントロールに対して、該アクセスコントロールが真かまたは真でない結果を有するのを決定することであって、該決定することが、
該リンクされたデータソースに接続することと、
該属性に対する該値を該データソースから検索することと、
該検索された値を該アクセスコントロールの該１つ以上の明記されたオプションと比較することであって、もし該検索された値が該明記されたオプションのうちの１つ以上にマッチするなら、該アクセスコントロールの結果が真であり、もし該検索された値が該明記されたオプションのうちの１つ以上にマッチしないなら、該アクセスコントロールの結果が真でない、ことと
によって行われる、ことと、
該論理関係に従って、該論理ステートメントの各アクセスコントロールに対する該真または真でない結果を処理することによって該論理ステートメントの真または真でないことを評価することと、
該ユーザーが該資産にアクセスするのを許可されるか否かを決定することであって、該論理ステートメントが真である場合、該ユーザーがアクセスを許可され、該論理ステートメントが真でない場合、該ユーザーがアクセスを拒絶される、ことと
を含む、方法。
【請求項２】
任意のアクセスコントロールに対して、前記リンクされたデータソースへの接続が作られ得ない場合、該アクセスコントロールに対する前記真または真でない結果を真でないことに設定することをさらに含む、請求項１に記載の方法。
【請求項３】
前記資産にアクセスするための前記ユーザーリクエストは、１つ以上の許可を該資産に行使するためのリクエストを含み、各許可は、該資産にまたは該資産を用いて行われ得る動作を明記する、請求項１に記載の方法。
【請求項４】
前記アクセスコントロールポリシーを生成しまたは修正するためのリクエストを受信することと、
該リクエストを受信するのに応答して、該アクセスコントロールポリシーがなお存在しない場合、それを生成し、または該アクセスコントロールポリシーが既に存在する場合、それを前記記憶エリアから検索することと、
アクセスが該アクセスコントロールポリシーによってコントロールされるべき１つ以上の資産を選択することと、
該アクセスコントロールポリシーに含むように１つ以上のアクセスコントロールを選択することと、
該１つ以上のアクセスコントロールの前記論理関係を明記する前記論理ステートメントを編集することと、
該選択されたアクセスコントロールおよび該編集された論理ステートメントを含む該アクセスコントロールポリシーを該記憶エリアに保存することと
を含む、請求項１に記載の方法。
【請求項５】
前記１つ以上の資産は、１つ以上の許可に関連し、各許可は、該資産のうちの１つにまたは該１つを用いて行われ得る動作を明記し、前記方法は、前記アクセスコントロールポリシーの含まれるものに対する該資産に関連する該許可のうちの１つ以上を選択することをさらに含み、選択された許可を該資産に行使するためのユーザーリクエストは、該アクセスコントロールポリシーの前記検索をトリガーする、請求項４に記載の方法。
【請求項６】
前記１つ以上のアクセスコントロールのうちの１つを生成しまたは修正するためのリクエストを受信することと、
該リクエストを受信するのに応答して、該アクセスコントロールがなお存在しない場合、それを生成し、または該アクセスコントロールが既に存在する場合、それを前記記憶エリアから検索することと、
該アクセスコントロールにリンクされるべき１つ以上のデータソースを選択することであって、各データソースが、１つ以上の属性の各々に対する値を含み、各データソースの各属性が、同じまたは別のデータソースの各属性と異なるかもしれない、ことと、
各データソースに対して、該アクセスコントロールに含むように属性を１つ以上の属性から選択し、該アクセスコントロール内に該選択された属性に対する１つ以上のオプションを明記することと、
該アクセスコントロールを該記憶エリアに保存することと
を含む、請求項１に記載の方法。
【請求項７】
各データソースに対して、前記データソースとそのリンクされたアクセスコントロールとの間の接続を、該データソースに対する位置情報を該リンクされたアクセスコントロールに入力することによって構成することをさらに含む、請求項６に記載の方法。
【請求項８】
前記データソースは、データベースであり、該データベースのうち少なくとも１つの属性は、テーブルである、請求項１に記載の方法。
【請求項９】
前記データソースは、ウェブサービスである、請求項１に記載の方法。
【請求項１０】
前記資産は、電子ドキュメントである、請求項１に記載の方法。
【請求項１１】
資産へのアクセスを動的に管理するためのシステムであって、該システムは、
資産へのアクセスをリクエストするアクセスコントロールリクエストを送信することと、
アクセス決定を受信することと、
該受信されたアクセス決定に基づいて該資産へのアクセスを認めまたは拒絶することと
を行うようにユーザーによって動作可能なクライアントと、
該アクセスコントロールリクエストを処理するように構成されるアクセスコントロールプロセスであって、該処理することが、
該アクセスコントロールリクエストを該クライアントから受信することと、
該アクセスコントロールリクエストを受信するのに応答して、該資産に関連するアクセスコントロールポリシーを記憶エリアから検索することであって、該アクセスコントロールポリシーが、１つ以上のアクセスコントロールと、互いに対して該１つ以上のアクセスコントロールの論理関係を明記する論理ステートメントとを含み、各アクセスコントロールが、属性に対する１つ以上の明記されたオプションを含み、該属性に対する値を含むデータソースにリンクされる、ことと、
該論理ステートメントを構文解析し、該論理ステートメントの各アクセスコントロールに対して、該アクセスコントロールが真かまたは真でない結果を有するのを決定することであって、該決定することが、
該リンクされたデータソースに接続することと、
該属性に対する該値を該データソースから検索することと、
該検索された値を該アクセスコントロールの該１つ以上の明記されたオプションと比較することであって、もし該検索された値が該明記されたオプションのうちの１つ以上にマッチするなら、該アクセスコントロールの結果が真であり、もし該検索された値が該明記されたオプションのうちの１つ以上にマッチしないなら、該アクセスコントロールの結果が真でない、ことと
によって行われる、ことと、
該論理関係に従って、該論理ステートメントの各アクセスコントロールに対する該真または真でない結果を処理することによって該論理ステートメントの真または真でないことを評価することと、
該アクセス決定を生成することであって、該論理ステートメントが真である場合、該アクセス決定が、該ユーザーがアクセスを認められることを明記し、該論理ステートメントが真でない場合、該アクセス決定が、該ユーザーがアクセスを拒絶されること明記する、ことと、
該アクセス決定を該クライアントに送信することと
によって行われる、アクセスコントロールプロセスと
を含む、システム。
【請求項１２】
資産へのアクセスを動的に管理するためのプログラムを格納したコンピュータ読み取り可能な格納媒体であって、該プログラムは、
資産へのアクセスをリクエストするアクセスコントロールリクエストを送信することと、
アクセス決定を受信することと、
該受信されたアクセス決定に基づいて該資産へのアクセスを認めまたは拒絶することと
を行うようにユーザーによって動作可能なクライアントと、
該アクセスコントロールリクエストを処理するように構成されるアクセスコントロールプロセスであって、該処理することが、
該アクセスコントロールリクエストを該クライアントから受信することと、
該アクセスコントロールリクエストを受信するのに応答して、該資産に関連するアクセスコントロールポリシーを記憶エリアから検索することであって、該アクセスコントロールポリシーが、１つ以上のアクセスコントロールと、互いに対して該１つ以上のアクセスコントロールの論理関係を明記する論理ステートメントとを含み、各アクセスコントロールが、属性に対する１つ以上の明記されたオプションを含み、該属性に対する値を含むデータソースにリンクされる、ことと、
該論理ステートメントを構文解析し、該論理ステートメントの各アクセスコントロールに対して、該アクセスコントロールが真かまたは真でない結果を有するのを決定することであって、該決定することが、
該リンクされたデータソースに接続することと、
該属性に対する該値を該データソースから検索することと、
該検索された値を該アクセスコントロールの該１つ以上の明記されたオプションと比較することであって、もし該検索された値が該明記されたオプションのうちの１つ以上にマッチするなら、該アクセスコントロールの結果が真であり、もし該検索された値が該明記されたオプションのうちの１つ以上にマッチしないなら、該アクセスコントロールの結果が真でない、ことと
によって行われる、ことと、
該論理関係に従って、該論理ステートメントの各アクセスコントロールに対する該真または真でない結果を処理することによって該論理ステートメントの真または真でないことを評価することと、
該アクセス決定を生成することであって、該論理ステートメントが真である場合、該アクセス決定が、該ユーザーがアクセスを認められることを明記し、該論理ステートメントが真でない場合、該アクセス決定が、該ユーザーがアクセスを拒絶されること明記する、ことと、
該アクセス決定を該クライアントに送信することと
によって行われる、アクセスコントロールプロセスと
として該コンピュータを動作させる、媒体。
【請求項１３】
前記アクセスコントロールプロセスは、前記アクセスコントロールリクエストを処理するための論理を用いて構成されるプロセッサーによってインプリメントされる、請求項１１に記載のシステム。
【請求項１４】
前記資産にアクセスするための前記ユーザーリクエストは、１つ以上の許可を該資産に行使するためのリクエストを含み、各許可は、該資産にまたは該資産を用いて行われ得る動作を明記する、請求項１１に記載のシステム。
【請求項１５】
請求項１１に記載のシステムであって、
ユーザーによる使用可能な管理者クライアントをさらに含み、該クライアントが、
前記アクセスコントロールポリシーを生成しまたは修正するためのリクエストを前記アクセスコントロールプロセスに送信することと、
ポリシーオプションのセットを該アクセスコントロールプロセスから受信することと、
１つ以上のポリシーオプションを該受信されたポリシーオプションのセットから選択することと、
前記論理ステートメントを編集することと、
該選択されたポリシーオプションおよび該論理ステートメントを該アクセスコントロールプロセスに送信することと
を行うためであり、
該アクセスコントロールプロセスが、該アクセスコントロールポリシーを生成しまたは修正するようにさらに構成され、該生成しまたは修正することが、
該アクセスコントロールポリシーを生成しまたは修正するための該リクエストを該クライアントから受信することと、
該リクエストを受信するのに応答して、該アクセスコントロールポリシーがなお存在しない場合、それを生成し、または該アクセスコントロールポリシーが既に存在する場合、それを前記記憶エリアから検索することと、
ポリシーオプションのセットを該クライアントに送信することであって、該ポリシーオプションが、アクセスがアクセスコントロールポリシーによってコントロールされ得る１つ以上の資産の資産リストと、該アクセスコントロールポリシーに含まれ得る１つ以上のアクセスコントロールのアクセスコントロールリストとを含む、ことと、
該選択されたポリシーオプションおよび該編集された論理ステートメントを該クライアントから受信することであって、該選択されたポリシーオプションが、１つ以上の資産の該リストからの１つ以上の選択された資産と、該アクセスコントロールリストからの１つ以上の選択されたアクセスコントロールとを含む、ことと、
該受信されたポリシーオプションおよび該編集された論理ステートメントを含む該アクセスコントロールポリシーを該記憶エリアに保存することと
によって行われる、システム。
【請求項１６】
請求項１１に記載のシステムであって、
ユーザーによる使用可能な管理クライアントをさらに含み、該管理クライアントが、
前記アクセスコントロールのうちの１つを生成しまたは修正するためのリクエストを前記アクセスコントロールプロセスに送信することと、
コントロールオプションのセットを該アクセスコントロールプロセスから受信することと、
１つ以上のコントロールオプションを該受信されたコントロールオプションのセットから選択することと、
該選択されたコントロールオプションを該アクセスコントロールプロセスに送信することと
を行うためであり、
該アクセスコントロールプロセスが、該アクセスコントロールを生成しまたは修正するようにさらに構成され、該生成しまたは修正することが、
該アクセスコントロールを生成しまたは修正するための該リクエストを該クライアントから受信することと、
該リクエストを受信するのに応答して、該アクセスコントロールがなお存在しない場合、それを生成し、または該アクセスコントロールが既に存在する場合、それを前記記憶エリアから検索することと、
コントロールオプションのセットを該クライアントに送信することであって、該コントロールオプションが、該アクセスコントロールにリンクされ得るデータソースのソースリストを含み、各データソースが１つ以上の属性の各々に対する値を含み、各データソースの各属性が、同じまたは別のデータソースの各属性と異なるかもしれない、ことと、
該選択されたコントロールオプションを該クライアントから受信することであって、該選択されたコントロールオプションが、該ソースリストからの１つ以上の選択されたデータソースと、各選択されたデータソースに対する該データソースからの１つ以上の選択された属性と、各選択された属性に対する１つ以上のオプションとを含む、ことと、
該受信されたコントロールオプションを含む該アクセスコントロールを該記憶エリアに保存することと
によって行われる、システム。
【請求項１７】
前記データソースは、データベースである、請求項１１に記載のシステム。
【請求項１８】
前記データソースは、ウェブサービスである、請求項１１に記載のシステム。
【請求項１９】
前記資産は、前記システムのハードウェア部品である、請求項１１に記載のシステム。
【請求項２０】
前記資産は、電子ドキュメントである、請求項１１に記載のシステム。
【請求項１】
資産へのアクセスを動的に管理するための方法であって、該方法は、
資産にアクセスするためのユーザーリクエストを受信することと、
該ユーザーリクエストを受信するのに応答して、該資産に関連するアクセスコントロールポリシーを記憶エリアから検索することであって、該アクセスコントロールポリシーが、１つ以上のアクセスコントロールと、互いに対して該１つ以上のアクセスコントロールの論理関係を明記する論理ステートメントとを含み、各アクセスコントロールが、属性に対する１つ以上の明記されたオプションを含み、該属性に対する値を含むデータソースにリンクされる、ことと、
該論理ステートメントを構文解析し、該論理ステートメントの各アクセスコントロールに対して、該アクセスコントロールが真かまたは真でない結果を有するのを決定することであって、該決定することが、
該リンクされたデータソースに接続することと、
該属性に対する該値を該データソースから検索することと、
該検索された値を該アクセスコントロールの該１つ以上の明記されたオプションと比較することであって、もし該検索された値が該明記されたオプションのうちの１つ以上にマッチするなら、該アクセスコントロールの結果が真であり、もし該検索された値が該明記されたオプションのうちの１つ以上にマッチしないなら、該アクセスコントロールの結果が真でない、ことと
によって行われる、ことと、
該論理関係に従って、該論理ステートメントの各アクセスコントロールに対する該真または真でない結果を処理することによって該論理ステートメントの真または真でないことを評価することと、
該ユーザーが該資産にアクセスするのを許可されるか否かを決定することであって、該論理ステートメントが真である場合、該ユーザーがアクセスを許可され、該論理ステートメントが真でない場合、該ユーザーがアクセスを拒絶される、ことと
を含む、方法。
【請求項２】
任意のアクセスコントロールに対して、前記リンクされたデータソースへの接続が作られ得ない場合、該アクセスコントロールに対する前記真または真でない結果を真でないことに設定することをさらに含む、請求項１に記載の方法。
【請求項３】
前記資産にアクセスするための前記ユーザーリクエストは、１つ以上の許可を該資産に行使するためのリクエストを含み、各許可は、該資産にまたは該資産を用いて行われ得る動作を明記する、請求項１に記載の方法。
【請求項４】
前記アクセスコントロールポリシーを生成しまたは修正するためのリクエストを受信することと、
該リクエストを受信するのに応答して、該アクセスコントロールポリシーがなお存在しない場合、それを生成し、または該アクセスコントロールポリシーが既に存在する場合、それを前記記憶エリアから検索することと、
アクセスが該アクセスコントロールポリシーによってコントロールされるべき１つ以上の資産を選択することと、
該アクセスコントロールポリシーに含むように１つ以上のアクセスコントロールを選択することと、
該１つ以上のアクセスコントロールの前記論理関係を明記する前記論理ステートメントを編集することと、
該選択されたアクセスコントロールおよび該編集された論理ステートメントを含む該アクセスコントロールポリシーを該記憶エリアに保存することと
を含む、請求項１に記載の方法。
【請求項５】
前記１つ以上の資産は、１つ以上の許可に関連し、各許可は、該資産のうちの１つにまたは該１つを用いて行われ得る動作を明記し、前記方法は、前記アクセスコントロールポリシーの含まれるものに対する該資産に関連する該許可のうちの１つ以上を選択することをさらに含み、選択された許可を該資産に行使するためのユーザーリクエストは、該アクセスコントロールポリシーの前記検索をトリガーする、請求項４に記載の方法。
【請求項６】
前記１つ以上のアクセスコントロールのうちの１つを生成しまたは修正するためのリクエストを受信することと、
該リクエストを受信するのに応答して、該アクセスコントロールがなお存在しない場合、それを生成し、または該アクセスコントロールが既に存在する場合、それを前記記憶エリアから検索することと、
該アクセスコントロールにリンクされるべき１つ以上のデータソースを選択することであって、各データソースが、１つ以上の属性の各々に対する値を含み、各データソースの各属性が、同じまたは別のデータソースの各属性と異なるかもしれない、ことと、
各データソースに対して、該アクセスコントロールに含むように属性を１つ以上の属性から選択し、該アクセスコントロール内に該選択された属性に対する１つ以上のオプションを明記することと、
該アクセスコントロールを該記憶エリアに保存することと
を含む、請求項１に記載の方法。
【請求項７】
各データソースに対して、前記データソースとそのリンクされたアクセスコントロールとの間の接続を、該データソースに対する位置情報を該リンクされたアクセスコントロールに入力することによって構成することをさらに含む、請求項６に記載の方法。
【請求項８】
前記データソースは、データベースであり、該データベースのうち少なくとも１つの属性は、テーブルである、請求項１に記載の方法。
【請求項９】
前記データソースは、ウェブサービスである、請求項１に記載の方法。
【請求項１０】
前記資産は、電子ドキュメントである、請求項１に記載の方法。
【請求項１１】
資産へのアクセスを動的に管理するためのシステムであって、該システムは、
資産へのアクセスをリクエストするアクセスコントロールリクエストを送信することと、
アクセス決定を受信することと、
該受信されたアクセス決定に基づいて該資産へのアクセスを認めまたは拒絶することと
を行うようにユーザーによって動作可能なクライアントと、
該アクセスコントロールリクエストを処理するように構成されるアクセスコントロールプロセスであって、該処理することが、
該アクセスコントロールリクエストを該クライアントから受信することと、
該アクセスコントロールリクエストを受信するのに応答して、該資産に関連するアクセスコントロールポリシーを記憶エリアから検索することであって、該アクセスコントロールポリシーが、１つ以上のアクセスコントロールと、互いに対して該１つ以上のアクセスコントロールの論理関係を明記する論理ステートメントとを含み、各アクセスコントロールが、属性に対する１つ以上の明記されたオプションを含み、該属性に対する値を含むデータソースにリンクされる、ことと、
該論理ステートメントを構文解析し、該論理ステートメントの各アクセスコントロールに対して、該アクセスコントロールが真かまたは真でない結果を有するのを決定することであって、該決定することが、
該リンクされたデータソースに接続することと、
該属性に対する該値を該データソースから検索することと、
該検索された値を該アクセスコントロールの該１つ以上の明記されたオプションと比較することであって、もし該検索された値が該明記されたオプションのうちの１つ以上にマッチするなら、該アクセスコントロールの結果が真であり、もし該検索された値が該明記されたオプションのうちの１つ以上にマッチしないなら、該アクセスコントロールの結果が真でない、ことと
によって行われる、ことと、
該論理関係に従って、該論理ステートメントの各アクセスコントロールに対する該真または真でない結果を処理することによって該論理ステートメントの真または真でないことを評価することと、
該アクセス決定を生成することであって、該論理ステートメントが真である場合、該アクセス決定が、該ユーザーがアクセスを認められることを明記し、該論理ステートメントが真でない場合、該アクセス決定が、該ユーザーがアクセスを拒絶されること明記する、ことと、
該アクセス決定を該クライアントに送信することと
によって行われる、アクセスコントロールプロセスと
を含む、システム。
【請求項１２】
資産へのアクセスを動的に管理するためのプログラムを格納したコンピュータ読み取り可能な格納媒体であって、該プログラムは、
資産へのアクセスをリクエストするアクセスコントロールリクエストを送信することと、
アクセス決定を受信することと、
該受信されたアクセス決定に基づいて該資産へのアクセスを認めまたは拒絶することと
を行うようにユーザーによって動作可能なクライアントと、
該アクセスコントロールリクエストを処理するように構成されるアクセスコントロールプロセスであって、該処理することが、
該アクセスコントロールリクエストを該クライアントから受信することと、
該アクセスコントロールリクエストを受信するのに応答して、該資産に関連するアクセスコントロールポリシーを記憶エリアから検索することであって、該アクセスコントロールポリシーが、１つ以上のアクセスコントロールと、互いに対して該１つ以上のアクセスコントロールの論理関係を明記する論理ステートメントとを含み、各アクセスコントロールが、属性に対する１つ以上の明記されたオプションを含み、該属性に対する値を含むデータソースにリンクされる、ことと、
該論理ステートメントを構文解析し、該論理ステートメントの各アクセスコントロールに対して、該アクセスコントロールが真かまたは真でない結果を有するのを決定することであって、該決定することが、
該リンクされたデータソースに接続することと、
該属性に対する該値を該データソースから検索することと、
該検索された値を該アクセスコントロールの該１つ以上の明記されたオプションと比較することであって、もし該検索された値が該明記されたオプションのうちの１つ以上にマッチするなら、該アクセスコントロールの結果が真であり、もし該検索された値が該明記されたオプションのうちの１つ以上にマッチしないなら、該アクセスコントロールの結果が真でない、ことと
によって行われる、ことと、
該論理関係に従って、該論理ステートメントの各アクセスコントロールに対する該真または真でない結果を処理することによって該論理ステートメントの真または真でないことを評価することと、
該アクセス決定を生成することであって、該論理ステートメントが真である場合、該アクセス決定が、該ユーザーがアクセスを認められることを明記し、該論理ステートメントが真でない場合、該アクセス決定が、該ユーザーがアクセスを拒絶されること明記する、ことと、
該アクセス決定を該クライアントに送信することと
によって行われる、アクセスコントロールプロセスと
として該コンピュータを動作させる、媒体。
【請求項１３】
前記アクセスコントロールプロセスは、前記アクセスコントロールリクエストを処理するための論理を用いて構成されるプロセッサーによってインプリメントされる、請求項１１に記載のシステム。
【請求項１４】
前記資産にアクセスするための前記ユーザーリクエストは、１つ以上の許可を該資産に行使するためのリクエストを含み、各許可は、該資産にまたは該資産を用いて行われ得る動作を明記する、請求項１１に記載のシステム。
【請求項１５】
請求項１１に記載のシステムであって、
ユーザーによる使用可能な管理者クライアントをさらに含み、該クライアントが、
前記アクセスコントロールポリシーを生成しまたは修正するためのリクエストを前記アクセスコントロールプロセスに送信することと、
ポリシーオプションのセットを該アクセスコントロールプロセスから受信することと、
１つ以上のポリシーオプションを該受信されたポリシーオプションのセットから選択することと、
前記論理ステートメントを編集することと、
該選択されたポリシーオプションおよび該論理ステートメントを該アクセスコントロールプロセスに送信することと
を行うためであり、
該アクセスコントロールプロセスが、該アクセスコントロールポリシーを生成しまたは修正するようにさらに構成され、該生成しまたは修正することが、
該アクセスコントロールポリシーを生成しまたは修正するための該リクエストを該クライアントから受信することと、
該リクエストを受信するのに応答して、該アクセスコントロールポリシーがなお存在しない場合、それを生成し、または該アクセスコントロールポリシーが既に存在する場合、それを前記記憶エリアから検索することと、
ポリシーオプションのセットを該クライアントに送信することであって、該ポリシーオプションが、アクセスがアクセスコントロールポリシーによってコントロールされ得る１つ以上の資産の資産リストと、該アクセスコントロールポリシーに含まれ得る１つ以上のアクセスコントロールのアクセスコントロールリストとを含む、ことと、
該選択されたポリシーオプションおよび該編集された論理ステートメントを該クライアントから受信することであって、該選択されたポリシーオプションが、１つ以上の資産の該リストからの１つ以上の選択された資産と、該アクセスコントロールリストからの１つ以上の選択されたアクセスコントロールとを含む、ことと、
該受信されたポリシーオプションおよび該編集された論理ステートメントを含む該アクセスコントロールポリシーを該記憶エリアに保存することと
によって行われる、システム。
【請求項１６】
請求項１１に記載のシステムであって、
ユーザーによる使用可能な管理クライアントをさらに含み、該管理クライアントが、
前記アクセスコントロールのうちの１つを生成しまたは修正するためのリクエストを前記アクセスコントロールプロセスに送信することと、
コントロールオプションのセットを該アクセスコントロールプロセスから受信することと、
１つ以上のコントロールオプションを該受信されたコントロールオプションのセットから選択することと、
該選択されたコントロールオプションを該アクセスコントロールプロセスに送信することと
を行うためであり、
該アクセスコントロールプロセスが、該アクセスコントロールを生成しまたは修正するようにさらに構成され、該生成しまたは修正することが、
該アクセスコントロールを生成しまたは修正するための該リクエストを該クライアントから受信することと、
該リクエストを受信するのに応答して、該アクセスコントロールがなお存在しない場合、それを生成し、または該アクセスコントロールが既に存在する場合、それを前記記憶エリアから検索することと、
コントロールオプションのセットを該クライアントに送信することであって、該コントロールオプションが、該アクセスコントロールにリンクされ得るデータソースのソースリストを含み、各データソースが１つ以上の属性の各々に対する値を含み、各データソースの各属性が、同じまたは別のデータソースの各属性と異なるかもしれない、ことと、
該選択されたコントロールオプションを該クライアントから受信することであって、該選択されたコントロールオプションが、該ソースリストからの１つ以上の選択されたデータソースと、各選択されたデータソースに対する該データソースからの１つ以上の選択された属性と、各選択された属性に対する１つ以上のオプションとを含む、ことと、
該受信されたコントロールオプションを含む該アクセスコントロールを該記憶エリアに保存することと
によって行われる、システム。
【請求項１７】
前記データソースは、データベースである、請求項１１に記載のシステム。
【請求項１８】
前記データソースは、ウェブサービスである、請求項１１に記載のシステム。
【請求項１９】
前記資産は、前記システムのハードウェア部品である、請求項１１に記載のシステム。
【請求項２０】
前記資産は、電子ドキュメントである、請求項１１に記載のシステム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図２】
【図３】
【図４】
【図５】
【図６】
【公開番号】特開２０１２−９０２７（Ｐ２０１２−９０２７Ａ）
【公開日】平成２４年１月１２日（２０１２．１．１２）
【国際特許分類】
【出願番号】特願２０１１−１３７７４８（Ｐ２０１１−１３７７４８）
【出願日】平成２３年６月２１日（２０１１．６．２１）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．Ｌｉｎｕｘ
【出願人】（５０５１９４０７７）アイティーティー マニュファクチャリング エンタープライジーズ， インコーポレイテッド (114)
【Ｆターム（参考）】
【公開日】平成２４年１月１２日（２０１２．１．１２）
【国際特許分類】
【出願日】平成２３年６月２１日（２０１１．６．２１）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．Ｌｉｎｕｘ
【出願人】（５０５１９４０７７）アイティーティー マニュファクチャリング エンタープライジーズ， インコーポレイテッド (114)
【Ｆターム（参考）】
[ Back to top ]