情報処理システム及びコンピュータプログラム
【課題】内部ネットワーク上の端末をリモート操作で動作させて内部ネットワーク上の資源にアクセスする際のアクセス範囲を、その端末のリモート操作元に応じて変える。
【解決手段】ＲＡＳサーバ１０に、外部ネットワークＬ２上の端末Ｔ３からのリモートアクセスであることを識別するためのリモート識別情報を保持するとともに、ディレクトリサーバ２０に資源へのアクセス時に参照されるアクセス許容範囲を定めた権限テーブルを保持しておく。ＲＡＳサーバ１０は、端末Ｔ３からの外部アクセス時に、リモート識別情報が保持されているかどうかを判定し、記録されているときに、リモートアクセスに先立ち、ユーザについての資源のアクセス許容範囲を、内部ネットワークの端末Ｔ２によるリモートアクセス時又はリモート操作される端末Ｔ１による直接アクセス時の範囲と異ならせる。
【解決手段】ＲＡＳサーバ１０に、外部ネットワークＬ２上の端末Ｔ３からのリモートアクセスであることを識別するためのリモート識別情報を保持するとともに、ディレクトリサーバ２０に資源へのアクセス時に参照されるアクセス許容範囲を定めた権限テーブルを保持しておく。ＲＡＳサーバ１０は、端末Ｔ３からの外部アクセス時に、リモート識別情報が保持されているかどうかを判定し、記録されているときに、リモートアクセスに先立ち、ユーザについての資源のアクセス許容範囲を、内部ネットワークの端末Ｔ２によるリモートアクセス時又はリモート操作される端末Ｔ１による直接アクセス時の範囲と異ならせる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、外部ネットワーク上の情報処理端末から内部ネットワーク上の情報処理端末をリモート操作して内部ネットワーク上の資源にアクセスする際のセキュリティ技術に関する。内部ネットワークは、例えばイントラネットやＬＡＮ等であり、外部ネットワークは、例えばインターネット等の広域ネットワークである。
【背景技術】
【０００２】
ネットワーク技術及びコンピュータ技術の発達により、自宅のパーソナルコンピュータなど、外部ネットワークに接続された情報処理端末（以下、「外部端末」と称する場合がある）で、内部ネットワークに接続された企業内、組織内あるいはグループ内（便宜上、これらを「社内」とし、それ以外を「社外」とする）の情報処理端末（以下、社内の情報処理端末を「内部端末」と称する場合がある）と実質的に同じ環境を実現するテレワークが容易になっている。テレワークを可能にしたのは、インターネットやイントラネット等のネットワークインフラの普及のほかに、情報処理端末用のオペレーティングシステムにリモートデスクトップの機能が搭載され、あるいは搭載可能になったことによる。
【０００３】
「リモートデスクトップ」は、ネットワークを介して接続された別の情報処理端末（「リモート端末」）の画面を自分の情報処理端末（「ローカル端末」）の画面上にそのまま表示して、ローカル端末上でリモート端末を操作することができるツールであり、オペレーティングシステムによっては「ターミナルサービス」と呼ばれることもある。このツールを用いることにより、ユーザは、社内で通常利用している内部端末をリモート端末とし、自宅のＰＣなどを外部端末とすることで、テレワークを実現することができる。
【０００４】
しかし、リモートデスクトップでは、リモート端末に、社内の情報蓄積ないし管理のシステム（以下「社内システム」と称する）が接続されている場合に、社内システム内の情報が外部に漏洩しやすいという問題がある。
【０００５】
この問題を解決するため、従来、特開２００６−２２９７４２号公報に記載された情報漏洩防止の発明がある。この発明は、社内システムへのアクセスがあった場合、そのアクセスが、内部端末によるものか、外部端末によるものかを判定し、外部端末からのアクセスであった場合には、その外部端末へ出るデータを暗号化することにより、情報漏洩を防ぐというものである。例えば、インターネットカフェのような不特定多数のユーザが利用する外部端末を利用する場合、この発明では、データを送信する際にそれを暗号化することにより、外部端末のキャッシュファイルにおいても暗号化された状態で保存されるようにする。これにより、万が一キャッシュファイルを通じてデータが取得された場合であっても、復号鍵を持つ者以外は、それを復号することができないため、情報漏洩の危険を回避することができる。
【０００６】
同じく外部への情報漏洩を防止するための発明として、特開２００５−３０３３７６号公報に記載されたものがある。この発明は、外部端末から内部端末の一種である画像処理装置へのアクセスがあった場合に、操作元の機器やアプリケーションが認証済みのものであるか否かを判定し、その結果により、画像処理装置に対して実行可能な操作を制限するというものである。このようにして、不特定多数の外部端末から機密データ等にアクセスすることを防いでいる。
【０００７】
【特許文献１】特開２００６−２２９７４２号
【特許文献２】特開２００５−３０３３７６号
【発明の開示】
【発明が解決しようとする課題】
【０００８】
リモートデスクトップを利用したテレワークを円滑にしつつ外部への情報漏洩を防ぐためには、内部端末から社内システムへのアクセスがあったときに、その内部端末からのアクセスが、社内操作によるものか、外部端末を通じてなされた操作によるものかを識別し、識別結果に応じてアクセス権限に差をつけることが望ましい。例えば、社内システムがＷｅｂサーバとファイルサーバとを含み、Ｗｅｂサーバでは「秘密Ｗｅｂページ」と「機密Ｗｅｂページ」とが保存され、他方、ファイルサーバには、フォルダ単位に「秘密ファイル」と「機密ファイル」がそれぞれ保存されているとすると、以下の要件を充たすことが望ましい。
【０００９】
（１）社内操作はアクセス制限無し
社内の内部端末で直接アクセスする場合や、社内のローカル端末から社内のリモート端末にリモートデスクトップしてアクセスする場合、すなわち社内操作については、Ｗｅｂサーバのすべてのページ及びファイルサーバのすべてのファイルにアクセス可能とする。
（２）外部端末を通じてなされた操作によるアクセスは一定の制限有り
外部端末から社内のリモート端末にリモートデスクトップしてアクセスする場合には、「秘密Ｗｅｂページ」又は「秘密ファイル」のみにアクセスを許可し、「機密Ｗｅｂページ」及び「機密ファイル」へのアクセスを禁止する。
【００１０】
現在のところ、この要件を充足する技術は存在しない。例えば、上述した特開２００６−２２９７４２号公報及び特開２００５−３０３３７６号公報に記載されている発明においても、内部端末からのアクセスである限り、社内システム側では、それが社内操作によるアクセスか、リモートデスクトップでログインされている外部端末からのアクセスなのかを区別することができない。
【００１１】
本発明は、上記の要件を充足することができる情報処理システム及びコンピュータプログラムを提供することを、主たる課題とするものである。
【課題を解決するための手段】
【００１２】
本発明の情報処理システムは、ユーザが、内部ネットワークに接続可能な外部ネットワーク上の第１端末から前記内部ネットワーク上の第２端末をリモート操作することにより、又は、前記内部ネットワーク上の第３端末から前記第２端末をリモート操作することにより、前記第２端末がアクセス可能な前記内部ネットワーク上の資源へのリモートアクセスを許容する情報処理システムであって、前記第１端末からのリモートアクセスであることを識別するためのリモート識別情報を、当該第１端末を操作するユーザを識別するためのユーザ識別情報と関連付けて所定の記憶領域に保持する識別情報保持手段と、前記資源へのアクセス時に参照される、前記ユーザによる当該資源へのアクセス許容範囲を定めた権限テーブルと、前記ユーザ識別情報を伴う前記第１端末からのアクセス時に、当該ユーザ識別情報に関連付けられた前記リモート識別情報が前記識別情報保持に保持されているかどうかを判定し、記録されているときに、前記第１端末からのリモートアクセスに先立ち、前記ユーザ識別情報により特定されるユーザについての前記アクセス許容範囲を、前記第３端末によるリモートアクセス時又は前記第２端末による直接アクセス時の範囲と異ならせる制御手段と、を有するネットワーク対応型の情報処理システムである。
【００１３】
この情報処理システムでは、ユーザについてのリモート識別情報が識別情報保持手段に保持されていることを前提として、そのユーザが第１端末を操作して第２端末をリモート操作しようとしたときに、制御手段が、リモートアクセスに先立ち、前記リモート識別情報をもとに、資源へのアクセス許容範囲を第３端末によるリモートアクセス時又は第２端末による直接アクセス時の範囲と異ならせるので、内部ネットワーク上の第２端末からのアクセスであっても、それを操作する端末がどのネットワーク上に存在するかによって、資源へのアクセス許容範囲を変えることができる。
【００１４】
この情報処理システムにおいて、前記制御手段は、前記内部ネットワーク上に存在する第１サーバと、この第１サーバと通信可能に接続された第２サーバとを含んで構成することができる。
第１サーバは、前記第１端末による前記内部ネットワークとの通信路確立のためのアクセス時に、前記判定を伴う認証を行う認証手段と、この認証手段により認証結果が正当で、かつ、前記リモート識別情報が前記リモート識別情報保持手段に保持されていると判定されたときに、前記ユーザが前記外部ネットワークからリモートアクセスしようとしていることを表すアクセス情報を前記第２サーバへ伝達する伝達手段とを有するものである。また、第２サーバは、前記アクセス情報の受信を契機に、前記ユーザについての前記権限テーブルのアクセス許容範囲を、前記第３端末によるリモートアクセス時又は前記第２端末による直接アクセス時よりも縮小させる権限管理手段とを有するものである。
【００１５】
前記資源は、例えば、前記内部ネットワーク上のファイルサーバに、フォルダ毎に格納されている複数の電子ファイルである。この場合、前記権限テーブルには、前記電子ファイルが格納されているフォルダ毎に、それぞれアクセスが許可又は禁止される前記ユーザ識別情報が更新自在に設定されるようにし、前記第２サーバを、前記アクセス情報の受信を契機に、前記ユーザによるアクセスが許可されるフォルダの数が減少するように前記権限テーブルを更新するように構成する。
【００１６】
前記第２サーバを、前記第２端末の代理アクセスを行うプロキシサーバとし、前記資源を、前記プロキシサーバが代理アクセス可能なＷｅｂサーバに掲載されている複数のＷｅｂページとすることができる。この場合、前記権限テーブルには、前記Ｗｅｂページ毎に、それぞれアクセスが許可又は禁止される前記ユーザ識別情報が設定されるようにし、前記プロキシサーバは、例えば、前記アクセス情報の受信を契機に、前記権限テーブルに記録されている情報に基づいて、前記ユーザへのアクセス許容範囲が、前記第３端末によるリモートアクセス時又は前記第２端末による直接アクセス時よりも縮小するように、当該ユーザからの通信パケットの内容を更新する権限管理手段とを有するものとする。
【００１７】
前記制御手段は、前記第１端末からのリモートアクセスの終了検知時又は前記第２端末からの指示に基づき、前記権限テーブルにおいて縮小したアクセス許容範囲を当該リモートアクセスの発生前の範囲に復帰させる切断監視手段をさらに備えるものとすることができる。これにより、ユーザが第２端末を操作する場合に、アクセスできない資源が発生してしまうことを防ぐことができる。
【００１８】
本発明のコンピュータプログラムは、コンピュータを上述した情報処理システムとして機能させるものである。すなわち、本発明のコンピュータプログラムは、記憶装置と共に内部ネットワークに接続されたコンピュータを、ユーザが、前記内部ネットワークに接続可能な外部ネットワーク上の第１端末から前記内部ネットワーク上の第２端末をリモート操作することにより、又は、前記内部ネットワーク上の第３端末から前記第２端末をリモート操作することにより、前記第２端末がアクセス可能な前記内部ネットワーク上の資源へリモートアクセスを行うことを許容する情報処理システムとして動作させるコンピュータプログラムであって、前記記憶装置に、前記資源へのアクセス時に参照される、前記ユーザによる当該資源へのアクセス許容範囲を定めた権限テーブルとを形成するとともに、前記コンピュータを、前記外部ネットワークからのリモートアクセスであることを識別するためのリモート識別情報を、前記ユーザを識別するためのユーザ識別情報と関連付けて、前記記憶装置における所定の記録領域に保持する識別情報保持手段、及び、前記ユーザ識別情報を伴う前記第１端末からのアクセス時に、当該ユーザ識別情報に関連付けられた前記リモート識別情報が保持されているかどうかを判定し、保持されているときに、前記第１端末からのリモートアクセスに先立ち、前記ユーザ識別情報により特定されるユーザについての前記権限テーブルのアクセス許容範囲を、前記第３端末によるリモートアクセス時又は前記第２端末による直接アクセス時の範囲と異ならせるアクセス制御手段、として機能させる、コンピュータプログラムである。
【発明の効果】
【００１９】
本発明によれば、外部ネットワーク上の第１端末から内部ネットワーク上の第２端末をリモート操作で動作させる際に、動作させている第２端末のアクセス権限を、外部ネットワークからのリモートアクセスか、内部ネットワークからのリモートアクセス又は直接アクセスかに基づいて、内部ネットワーク上の資源へのアクセス権限を変化させることができる。
【発明を実施するための最良の形態】
【００２０】
以下、本発明を、社内のイントラネットのような内部ネットワークに設けられる、ネットワーク対応型の情報処理システムに適用した場合の実施の形態例を説明する。内部ネットワークには、この情報処理システムを通じて、インターネットのような外部ネットワークに接続できるようになっている。
【００２１】
［第１実施形態］
図１は、第１実施形態の情報処理システムの全体構成図である。情報処理システム１は、内部ネットワークＬ１上（「ネットワーク上」とは、ネットワークに接続され、そのネットワークにおいて認識されている状態をいう。以下同じ）で互いに連携する複数のサーバを含んで構成される。すなわち、この実施形態の情報処理システム１は、それぞれ内部ネットワークＬ１に、ＲＡＳ（Remote Access Service）サーバ１０、ディレクトリサーバ２０、社内ファイルサーバ３０、切断監視サーバ４０、及び、複数の内部端末Ｔ１，Ｔ２が接続され、所定の権限情報の管理のもとで、相互にアクセスすることができる。ＲＡＳサーバ１０には、外部端末Ｔ３が接続可能な外部ネットワークＬ２が接続されている。
内部端末Ｔ１，Ｔ２及び外部端末Ｔ３には、前述した「リモートデスクトップ」の機能が搭載されており、例えばユーザが、このリモートデスクトップの機能を利用して、テレワークを行うことができるようになっている。
【００２２】
ＲＡＳサーバ１０は、外部ネットワークＬ２から内部ネットワークＬ１へのアクセスを制御する。このＲＡＳサーバ１０は、サーバ本体のプロセッサがＲＡＳサーバ用プログラムを実行することにより、図２に示すように、識別情報テーブル１１をサーバ本体の所定の記憶領域に構築するとともに、そのサーバ本体を、適宜、サーバ処理部１２、アクセス管理部１３及び認証部１４として機能させる。
【００２３】
識別情報テーブル１１は、例えば図３に示す内容のものである。この識別情報テーブル１１には、ユーザ毎のフィールドが設けられている。「Ｎｏ．」で区別される各フィールドには、ＲＡＳ−ＩＤと、Ｄ−ＩＤとが相互に関連付けて記録される。ＲＡＳ−ＩＤは、外部端末Ｔ３を操作元とするリモートアクセス（以下、「社外アクセス」とする）を内部端末Ｔ２を操作元とするリモートアクセス、又は、内部端末Ｔ１を操作元とする直接アクセス（以下、「社内アクセス」とする）と区別するためのリモート識別情報である。本例では、ＲＡＳ−ＩＤに、所定の英数字を割り当てるが、割り当てる符号は任意であって良い。Ｄ−ＩＤは、内部ネットワークＬ１において、アクセスを許可するユーザを識別するためのユーザ識別情報である。このＤ−ＩＤは、ユーザが内部ネットワークＬ１において通常利用する常用ＩＤであり、社内において任意に設定することができる。
【００２４】
サーバ処理部１２は、他のサーバ２０，３０，４０と連携するとともに、外部端末Ｔ３からのアクセス（認証要求、セッション確立要求、リモートアクセス要求等）を制御する処理を行う。ＲＡＳの機能及びサーバ処理の内容自体は、公知のものである。
認証部１４は、外部ネットワークＬ２に接続されている外部端末Ｔ３による内部ネットワークＬ１との通信路（セッション）確立のためのアクセス時に、そのユーザのＤ−ＩＤ並びに、そのＤ−ＩＤに紐付けられたＲＡＳ−ＩＤが識別情報テーブル１１に記録されているかどうかの判定を伴う認証を行う。アクセス管理部１３は、認証部１４により認証結果が正当で、かつ、ＲＡＳ−ＩＤが識別情報テーブル１１に記録されていると判定されたときに、ユーザが社外アクセスしようとしていることを表す社外アクセス情報をディレクトリサーバ２０に伝達する。
【００２５】
ディレクトリサーバ２０は、ユーザのＤ−ＩＤとそのユーザが現在所属するグループの情報とを管理する。このディレクトリサーバ２０は、ディレクトリサーバ用プログラムを実行することにより、図４に示すように、権限テーブル２１をサーバ本体の所定の記憶領域に形成するとともに、そのサーバ本体を、適宜、サーバ処理部２２、及び、アクセス権限管理部２３として機能させる。
【００２６】
権限テーブル２１の一例を図５に示す。この権限テーブル２１は、社内ファイルサーバ３０が、ユーザのアクセス権限を確認する際に参照されるもので、上述したＤ−ＩＤと、Ｄ−ＩＤにより特定されるユーザが現在所属しているユーザグループが何であるかを示すユーザグループ名とをアクセス権限として、相互に関連付けて記録する。ユーザグループは、社内アクセスと社外アクセスとを、共同で業務を行う複数のユーザ毎に区別するために導入される概念である。本例では、社内アクセスするユーザのユーザグループ名を「ＷＯＲＫ」、社外アクセスするユーザのユーザグループ名を「ＴＥＬＥ」のように設定する。後述するように、「ＴＥＬＥ」の資源へのアクセス許容範囲は、「ＷＯＲＫ」よりも縮小したものとなっている。なお、ユーザグループは２つに限定する必要はなく、３つ以上であっても良い。初期状態では、権限テーブル２１に記録されているすべてのユーザについてのユーザグループ名は「ＷＯＲＫ」となる。
【００２７】
サーバ処理部２２は、他のサーバ１０，３０，４０と連携する処理を行う。サーバ処理の機能自体は、公知のものである。アクセス権限管理部２３は、ＲＡＳサーバ１０からの社外アクセス情報の受信を契機に、ユーザがアクセスできる資源の範囲を社内アクセス時よりも縮小させるために、そのユーザが所属するユーザグループを「ＷＯＲＫ」から「ＴＥＬＥ」に変更させる。
【００２８】
社内ファイルサーバ３０は、内部ネットワークＬ１上に設けられるもので、資源の一例となる電子ファイルへのアクセスの許可又は禁止を制御する。この社内ファイルサーバ３０は、サーバ本体のプロセッサがファイルサーバ用プログラムを実行することにより、図６に示すように、権限テーブル３１及びそれぞれ機密レベルの異なる電子ファイルを格納した複数のフォルダ３５をサーバ本体の所定の記憶領域に構築するとともに、そのサーバ本体を、適宜、サーバ処理部３２、アクセス権限管理部３３、及び、アクセス制御部３４として機能させる。
【００２９】
権限テーブル３１の一例を図７に示す。権限テーブル３１は、フィールド番号（「Ｎｏ．」）と、電子ファイルのフォルダを識別するためのフォルダＩＤ（「フォルダ」）と、当該フォルダに記録されている電子ファイルの閲覧を許可するユーザグループ（「許可」）と、当該フォルダに記録されている情報の閲覧を禁止するためのユーザグループ（「禁止」）とが設定される。図示の例では、第１フィールド（Ｎｏ．１）には、フォルダ名「￥secret」の電子ファイルの閲覧を許可するのが「ＷＯＲＫ」及び「ＴＥＬＥ」の双方のユーザグループであり、禁止されるユーザグループが存在しないことを表す「Ｎ／Ａ」が設定されている。第２フィールド（Ｎｏ．２）には、フォルダ名「￥topsecret」の電子ファイルの閲覧を許可するユーザグループとして「ＷＯＲＫ」のみが設定され、禁止されるグループとして「ＴＥＬＥ」が設定されている。つまり、社外アクセスによる閲覧を制限する。なお、禁止されるユーザグループ名については、その設定を省略することもできる。
【００３０】
サーバ処理部３２は、他のサーバ１０，２０，４０と連携する処理を行う。サーバ処理の機能自体は、公知のものである。アクセス権限管理部３３は、ユーザからのアクセスがあった際に、そのユーザが所属するユーザグループが「ＷＯＲＫ」であるか「ＴＥＬＥ」であるかを確認し、権限テーブル３１によれば、それが、アクセスが許可されるユーザグループであるか、あるいは、禁止されるユーザグループかによって、閲覧可能なフォルダ３５の範囲を変えるためのアクセス権限を与える。アクセス制御部３４は、このアクセス権限に基づいて該当するフォルダ３５へのアクセスを許可又は禁止するための制御を行う。
【００３１】
切断監視サーバ４０は、外部アクセスがあったときにその切断検知時又は内部端末からの指示に基づき、閲覧が制限されている電子ファイルの範囲をリモートアクセス前の状態に復帰させるための処理を行う。この切断監視サーバ４０は、サーバ本体のプロセッサが監視サーバ用プログラムを実行することにより、図８に示すように、そのサーバ本体を、適宜、サーバ処理部４２、ＲＡＳサーバ接続監視部４３、及び、接続切断依頼受理部４４として機能させる。
【００３２】
サーバ処理部４２は、他のサーバ１０，２０，３０と連携する処理を行う。サーバ処理の機能自体は、公知のものである。ＲＡＳサーバ接続監視部４３は、外部端末Ｔ３からＲＡＳサーバ１０への接続状況、すなわち社外アクセスの状況を監視し、切断が検知されたときに、該当するユーザ識別情報をディレクトリサーバ２０に通知し、権限テーブル２１におけるグループグループ名をリモートアクセス前の状態、つまり社内アクセス時のものに復帰するように依頼する。具体的には、切断が検知されたユーザが所属していたユーザグループを「ＴＥＬＥ」から「ＷＯＲＫ」に更新させる。
【００３３】
接続切断依頼受理部４４は、社外アクセスによってリモート操作されている内部端末Ｔ１からのＲＡＳサーバ切断依頼を受理し、ＲＡＳサーバ接続中であっても強制的にディレクトリサーバ２０に切断通知をすることにより、該当するユーザのユーザグループを社内アクセス時のものに復帰させる。これは、何らかの事情で社外からＲＡＳサーバ１０に接続した状態のまま、ユーザが内部端末Ｔ１を利用する場合に、ユーザグループが「ＴＥＬＥ」のままだとアクセスできない電子ファイルが生じてしまうことを防ぐための機能である。
【００３４】
［運用形態例］
次に、この実施形態の情報処理システム１の運用形態例を、図９を参照して説明する。
図９は、各サーバ１０，２０，３０，４０の連携の様子を、処理の手順図として示したものである。ここでは、上述したリモートデスクトップを利用して、ユーザ（Ｄ−ＩＤ「user1」で特定されるユーザ）が、外部端末Ｔ３から内部端末Ｔ１に社外アクセスする場合の例を挙げる。
【００３５】
ユーザは、まず、内部ネットワークＬ１に入るための認証を受けるために、外部端末Ｔ３からＲＡＳ−ＩＤ（123456）又はＤ−ＩＤ（user1）を伴う認証情報をＲＡＳサーバ１０へ送る（ステップＳ１１）。ＲＡＳサーバ１０は、識別情報テーブル１１を参照して、そのユーザについて、少なくともＲＡＳ−ＩＤが識別情報テーブル１１に記録されているかどうかを判定する。記録されていない場合は、リモートアクセス不可のメッセージを外部端末Ｔ３へ送る。記録されている場合は、Ｄ−ＩＤ（user1）をディレクトリサーバ２０に通知する。これにより、ユーザが社外アクセスしようとしていることを、ディレクトリサーバ２０に知らせることができる（ステップＳ１２）。
【００３６】
ディレクトリサーバ２０は、ＲＡＳサーバ１０からの通知に基づき、権限テーブル２１における、そのユーザが所属するユーザグループ名を「ＷＯＲＫ」から「ＴＥＬＥ」に更新する。認証を終えたユーザが、外部端末Ｔ３からリモートデスクトップ経由で内部端末Ｔ１へログインする時点では（ステップＳ１３）、権限テーブル２１におけるユーザのグループは、既に「ＷＯＲＫ」から「ＴＥＬＥ」に切り替わっている。
ユーザは、リモートデスクトップ経由でログインした内部端末Ｔ１を通じて、社内ファイルサーバ３０へのアクセスを開始する（ステップＳ１４）。
【００３７】
社内ファイルサーバ３０は、アクセスしてきたユーザの現在のユーザグループが何であるかを知るために、ディレクトリサーバ２０にアクセスする。ディレクトリサーバ２０は、権限テーブル２１に記録されている現在のユーザグループを社内ファイルサーバ３０に閲覧させる。あるいは、そのユーザグループ名を自らサーチし、サーチ結果を社内ファイルサーバ３０に通知する。社内ファイルサーバ３０は、そのユーザグループ名に応じて、アクセスを許容するフォルダ３５へのアクセス制御を行う（ステップＳ１５）。アクセスが許可されたフォルダの電子ファイルは、リモート操作された内部端末Ｔ１を経由して操作元の外部端末Ｔ３に送られる（ステップＳ１６）。これにより、外部端末Ｔ１は、社内ファイルシステム３０内の所望の電子ファイルを社外より閲覧することができる。
【００３８】
目的が達成したとして、ユーザがリモートアクセスを切断した場合、あるいは、内部端末Ｔ１からの切断要求が発せられた場合（ステップＳ１７）、切断監視サーバ４０は、アクセスしてきたユーザのユーザグループ名をアクセス前の状態に復帰させるための処理を行う（ステップＳ１８）。これにより、そのユーザのユーザグループは、「ＴＥＬＥ」から、元の「ＷＯＲＫ」に戻る。
以上は、外部端末Ｔ３からの社外アクセスの場合の例であるが、内部端末Ｔ２から内部端末Ｔ１へのリモートアクセス、あるいは、内部端末Ｔ１による直接アクセスの場合は、ＲＡＳサーバ１０を経由しないので、ユーザグループ名が変化することがなく、社内アクセスとして扱われる。
【００３９】
このように、本実施形態の情報処理システム１によれば、内部端末Ｔ１によるアクセスであっても、その操作元が内部端末Ｔ１，Ｔ２となる社内アクセスである場合は、社内ファイルサーバ３０へのアクセスの制限が無く、他方、その操作元が外部端末Ｔ３となる社外アクセス時のみ、一定のアクセス制限を行うようにしたので、リモートデスクトップを利用したテレワークを円滑にしつつ、外部への情報漏洩を有効に防ぐことができる。
【００４０】
なお、この実施形態では、資源である電子ファイルにアクセスする際の権限を、「ＷＯＲＫ」や「ＴＥＬＥ」のように、そのユーザが所属するユーザグループ毎に定めた例を示したが、この権限は、ユーザ毎に定めても本発明の実施は可能である。この場合は、ユーザグループ名に代えて、Ｄ−ＩＤその他のユーザ固有の情報を用いれば良い。
また、第１実施形態では、ＲＡＳサーバ１０、ディレクトリサーバ２０、社内ファイルサーバ３０及び切断監視サーバ４０上の機能実現手段（サーバ処理部１１，２１，３１，４１等）が、それぞれ独立のコンピュータプログラムによって形成される場合の例を示したが、これらのコンピュータプログラムを１つに統合し、それをインストールするサーバ本体側で、自己に割り当てられた機能実現手段を選択して形成するようにしても良い。
また、第１実施形態では、複数のサーバ１０〜４０の連携による情報処理システム１の例を示したが、この情報処理システム１を１つのサーバで実現することもできる。この場合は、上述した権限テーブル３１，４１を１つの権限テーブルとして統合し、各サーバ１０〜４０について説明した機能が、その１つのサーバ本体において、適宜形成されるようにすれば良い。
【００４１】
［第２実施形態］
次に、本発明の第２実施形態を説明する。この実施形態では、第１実施形態のような権限テーブル３１，４１におけるユーザグループ名の書き換えではなく、外部端末Ｔ３からの通信パケットに含まれているユーザ識別情報そのものを書き換える場合の例を挙げる。本例では、便宜上、外部端末Ｔ３が接続される外部ネットワークＬ２がインターネットであるものとする。
【００４２】
図１０は、第２実施形態による情報処理システム２の全体構成図である。図１に示した情報処理システム１との相違は、ＲＡＳサーバ５０が、リモート識別情報であるＲＡＳ−ＩＤ及び常用ＩＤであるＤ−ＩＤのほかに、リモートアクセスを行う内部端末Ｔ１，Ｔ２のＩＰ（Internet Protocol）アドレスをも紐付けて管理するものであること、及び、ディレクトリサーバ２０及び社内ファイルサーバ３０に代えて、ＰＲＯＸＹサーバ６０及び社内Ｗｅｂサーバ７０を設け、内部端末Ｔ１から社内Ｗｅｂサーバ７０へのアクセスは、必ずＰＲＯＸＹサーバ６０を経由するようにしたことである。他の構成要素の機能等については、図１に示したものとほぼ同じなので、同じ符号を付して、その説明を省略する。
【００４３】
ＲＡＳサーバ５０の機能構成は、図１１に示すとおりである。図１との関係では、サーバ処理部５２がサーバ処理部１２、アクセス管理部５３がアクセス管理部１３、認証部５４が認証部１４、識別情報テーブル５１が識別情報テーブル１１にそれぞれ対応する。すなわち、ＲＡＳサーバ５０において実現される各機能は、基本的に図１に示したＲＡＳサーバ１０の機能と同じである。相違点は、ユーザからのアクセスが社外アクセスであることのアクセス管理部５３による通知先がＰＲＯＸＹサーバ６０であること、識別情報テーブル５１に記録されるユーザの情報に、リモート操作される内部端末Ｔ１，Ｔ２のＩＰアドレスが付加されることである。
【００４４】
識別情報テーブル５１の内容例を図１２に示す。図１２において、ＲＡＳ−ＩＤ及びＤ−ＩＤについては、第１実施形態の場合と同じである。「ＩＰ」は、上述したリモート操作される内部端末Ｔ１，Ｔ２のＩＰアドレスである。
【００４５】
ＰＲＯＸＹサーバ６０は、内部端末Ｔ１から社内Ｗｅｂサーバ７０への代理アクセスを行う。このＰＲＯＸＹサーバ６０は、サーバ本体のプロセッサがＰＲＯＸＹ用プログラムを実行することにより、図１３に示すように、権限テーブル６１をサーバ本体の所定の記憶領域に構築するとともに、そのサーバ本体を、適宜、サーバ処理部６２、及び、アクセス権限管理部６３として機能させる。
【００４６】
権限テーブル６１は、社内Ｗｅｂサーバ７０において、あるいは、ＰＲＯＸＹサーバ６０が社内Ｗｅｂサーバ７０にアクセスする際に、ユーザのアクセス権限を確認する際に参照される。この権限テーブル６１には、図１４に例示されるように、Ｄ−ＩＤ毎に、リモート操作される内部端末Ｔ１のＩＰアドレス（「Ｓｒｃ ＩＰ」）と、社内Ｗｅｂサーバ７０のＩＰアドレス（「Ｄｓｔ ＩＰ」）とが、相互に関連付けられて記録されている。
なお、本例では社内資源が社内Ｗｅｂサーバ７０だけなので「Ｄｓｔ ＩＰ」が１種類だけとなっているが、社内資源が複数の場合には、権限「Ｄｓｔ ＩＰ」も複数種類となる。
【００４７】
サーバ処理部６２は、ＲＡＳサーバ５０及び社内Ｗｅｂサーバ７０等と連携するとともに、内部ネットワークＬ１上の端末、例えば内部端末Ｔ１、Ｔ２等からの通信を制御する処理を行う。
アクセス権限管理部６３は、リモート操作される内部端末Ｔ１からのＩＰパケットの内容をキャプチャし、そのＩＰパケットに含まれるＨＴＴＰ認証時のユーザのＩＤ、すなわちＤ−ＩＤを必要に応じて書き換える。具体的には、ＲＡＳサーバ５０のアクセス管理部５３から、Ｄ−ＩＤ「user1」により特定されるユーザが社外アクセスしようとしている、という内容の情報が通知された場合、ＰＲＯＸＹサーバ６０を通過するＩＰパケットが、リモート操作されている内部端末Ｔ１からのものかを、権限テーブル６１に記録されているＩＰアドレス（Ｓｒｃ ＩＰ）をもとに判定し、そうであった場合は、そのＩＰパケットに含まれるヘッダ部の内容を解読する。そして、ヘッダ部に、社内Ｗｅｂサーバ７０のＨＴＴＰ認証に必要なＤ−ＩＤ、例えば「user1」が含まれていた場合、アクセス権限管理部６３は、社外アクセスであることを社内Ｗｅｂサーバ７０で区別できるようにするために、ヘッダ部にあるＤ−ＩＤを社外アクセス用のものに書き換える。本実施形態では、便宜上、社外アクセス用のＤ−ＩＤを、予め割り当てられている社内アクセス用のＤ−ＩＤの先頭に「ｔ」を付加したものに書き換えるものとする。つまり、社内アクセス用のＤ−ＩＤが「user1」のユーザの社外アクセス用のＤ−ＩＤは、「tuser1」となる。アクセス権限管理部６３は、必要に応じて、ＩＰパケットのチェックサムの再計算も行う。
【００４８】
このように、アクセス権限管理部６３でＤ−ＩＤを書き換えることにより、社外アクセス時と社内アクセス時とで、異なるＤ−ＩＤをヘッダ部に含むＩＰパケットで社内Ｗｅｂサーバ７０で代理アクセスできるようにする。
【００４９】
Ｗｅｂサーバ７０は、社内に設置されたＷｅｂサーバであり、資源の一例となるＷｅｂページの情報を操作元に提供する。このＷｅｂサーバ７０は、サーバ本体のプロセッサがＷｅｂ用プログラムを実行することにより、図１５に示すように、権限テーブル７１と、複数のＷｅｂページ７５又はそのＷｅｂページへのアクセス用URLをサーバ本体の所定の記憶領域に構築するとともに、そのサーバ本体を、適宜、サーバ処理部７２、アクセス権限管理部７３、及びアクセス制御部７４として機能させる。
【００５０】
権限テーブル７１は、例えば図１６のような内容のものである。権限テーブル７１には、「Ｎｏ．」で区別されるフィールド毎に、アクセス対象となるＷｅｂページの分類（又はそのURL）と、そのＷｅｂページへのアクセスを許可するユーザのＤ−ＩＤ（「許可」）と、そのＷｅｂページへのアクセスを禁止するユーザのＤ−ＩＤ（「禁止」）とがアクセス権限として記録される。但し、社外アクセスか社内アクセスかを区別せず、すべてのユーザへのアクセスを許可する場合は、ユーザの個別的なＤ−ＩＤの記録に代えて「ａｎｙ」が記録される。
【００５１】
アクセス権限管理部７３は、ユーザのアクセス権限とパスワードとを管理する。すなわち、社内アクセス用のＤ−ＩＤと、社外アクセス用のＤ−ＩＤとの間で、認証時に使用するパスワードを同期させる。パスワードが変更された場合は、これらのＤ−ＩＤ間で、変更されたパスワードが同期されるようにする。
【００５２】
アクセス制御部７４は、ユーザの現在のＤ−ＩＤに応じてＷｅｂページ７５へのアクセスを許可又は禁止するための制御を行う。具体的には、権限テーブル７１を参照して、操作元がどこからであっても、ユーザが閲覧が可能なＷｅｂページ７５（ａｎｙ）に対しては、すべてのユーザのアクセスを許可し、社外アクセスされたくないＷｅｂページには、Ｄ−ＩＤの先頭に「ｔ」のつくユーザからのアクセスを拒否する。
【００５３】
［運用形態例］
次に、第２実施形態によるシステムの動作を図１７を参照して説明する。
図１７は、各サーバ１０，４０，５０，６０，７０の連携の様子を、処理の手順図として示したものである。第１実施形態と同様、上述したリモートデスクトップを利用して、ユーザ（Ｄ−ＩＤ「user1」で特定されるユーザ）が、外部端末Ｔ３から内部端末Ｔ１にリモートアクセスする場合の例を挙げる。
【００５４】
ユーザは、まず、内部ネットワークＬ１に入るための認証を受けるために、外部端末Ｔ３からＲＡＳ−ＩＤ（123456）、Ｄ−ＩＤ（user1）、ＩＰアドレス（10.8.0.2）、又は、これらの組み合わせを伴う認証情報をＲＡＳサーバ５０へ送る（ステップＳ２１）。ＲＡＳサーバ１０は、識別情報テーブル１１を参照して、そのユーザについて、少なくともＲＡＳ−ＩＤが識別情報テーブル１１に記録されているかどうかを判定する。記録されていない場合、ＲＡＳサーバ５０は、リモートアクセス不可のメッセージを外部端末Ｔ３へ送る。記録されている場合は、Ｄ−ＩＤ（user1）及びＩＰアドレス（10.8.0.2）をＰＲＯＸＹサーバ６０に通知する。
これにより、Ｄ−ＩＤ（user1）により特定されるユーザが、ＩＰアドレスで特定される内部端末Ｔ１をリモート操作して内部ネットワークＬ１にアクセスしていることを、ＰＲＯＸＹサーバ６０に知らせることができる（ステップＳ２２）。
ＰＲＯＸＹサーバ６０は、ＲＡＳサーバ１０から通知された情報をもとに、権限テーブル６１の内容を更新する。
【００５５】
ユーザが内部端末Ｔ１にリモートデスクトップ経由でログインし（ステップＳ２３）、その内部端末Ｔ１が、社内Ｗｅｂサーバ７０へのアクセスを、ＰＲＯＸＹサーバ６０経由で開始する（ステップＳ２４、Ｓ２５）。
ＰＲＯＸＹサーバ６０は、ユーザからのＩＰパケットを監視し、そのユーザが、ＨＴＴＰ認証に必要となるＤ−ＩＤを含むＩＰパケットを送信していることが判明した場合は、そのＩＰパケットをフックし、Ｄ−ＩＤ及びチェックサムの書き換えを行う。
社内Ｗｅｂサーバ７０は、書き換えられたそのＤ−ＩＤに応じて、リクエストのあったＷｅｂページ７５の表示又は非表示の制御を行う。表示が許可されたときは、そのＷｅｂページの情報が、リモート操作された内部端末Ｔ１を経由して外部端末Ｔ３上で表示される（ステップＳ２６）。これにより、外部端末Ｔ１は、社内Ｗｅｂサーバ７０内の所望のＷｅｂページを社外より閲覧することができる。
【００５６】
目的が達成したとして、ユーザが社外アクセスを切断した場合、あるいは、内部端末Ｔ１その他の内部端末からの切断要求が発せられた場合（ステップＳ２７）、切断監視サーバ４０は、アクセスしてきたユーザの情報を社外アクセス前の状態に戻すための処理を行う（ステップＳ２８）。具体的には、そのユーザの社外アクセス用のＤ−ＩＤを削除するように、ＰＲＯＸＹサーバ６０へ依頼する。ＰＲＯＸＹサーバ６０は、この情報を削除する。これにより、ユーザは、内部端末Ｔ１による社内アクセスが可能になる。
【００５７】
内部端末Ｔ２から内部端末Ｔ１へのリモートアクセス、あるいは、内部端末Ｔ１による直接アクセスの場合は、ＩＰアドレスが書き換わらないので、社内アクセスとして扱われる点は、第１実施形態の場合と同じである。
【００５８】
このように、本発明の情報処理システム１，２によれば、既存技術ではできなかった、リモートアクセスの操作元に応じた、内部端末Ｔ１から社内の資源へのアクセス制限が可能になる。すなわち、リモートデスクトップ経由で内部端末Ｔ１にアクセスされる場合、操作元が外部端末Ｔ３である場合には、社内ファイルシステム３０又は社内Ｗｅｂサーバ７０において、機密性の高い情報（資源）の閲覧等が制限される。そのため、外部への情報漏洩を防ぐことができる一方で、外部ネットワークＬ２経由での利用が許可される情報に関しては、これまで通り、制限されることなくその閲覧等が可能となる。また、操作元が内部ネットワークＬ１上の他の内部端末Ｔ２である場合は、ＲＡＳサーバ１０，５０を経由しないので、資源に対して制限なくアクセスすることができる。これにより、外部への情報漏洩を防止しつつ、例えばテレワーク等を円滑に実現することができる。
【００５９】
なお、ＲＡＳサーバ５０、ＰＲＯＸＹサーバ６０、社内Ｗｅｂサーバ７０及び切断監視サーバ４０上の機能実現手段を、１つのコンピュータプログラムに統合し、それをインストールするサーバ本体側で、自己に割り当てられた機能実現手段を選択して形成するようにしても良い点、複数のサーバ４０〜７０の連携によるのではなく、情報処理システム２を１つのサーバで実現しても良い点は、第１実施形態と同じである。
【図面の簡単な説明】
【００６０】
【図１】本発明の第１実施形態による情報処理システムの全体構成図。
【図２】ＲＡＳサーバサーバの機能構成図。
【図３】ＲＡＳサーバサーバが有する識別情報テーブルの内容説明図。
【図４】ディレクトリサーバの機能構成図。
【図５】ディレクトリサーバが有する権限テーブルの内容説明図。
【図６】社内ファイルサーバの機能構成図。
【図７】社内ファイルサーバが有する権限テーブルの内容説明図。
【図８】切断監視サーバの機能構成図。
【図９】第１実施形態による運用の手順例を示す説明図。
【図１０】本発明の第２実施形態による情報処理システムの全体構成図。
【図１１】ＲＡＳサーバサーバの機能構成図。
【図１２】ＲＡＳサーバサーバが有する識別情報テーブルの内容説明図。
【図１３】ＰＲＯＸＹサーバの機能構成図。
【図１４】ＰＲＯＸＹサーバが有する権限テーブルの内容説明図。
【図１５】社内Ｗｅｂサーバの機能構成図。
【図１６】社内Ｗｅｂサーバが有する権限テーブルの内容説明図。
【図１７】第２実施形態による運用の手順例を示す説明図。
【符号の説明】
【００６１】
１，２ 情報処理システム
１０ ＲＡＳサーバ，５０（リモート・アクセス・サーバ）
２０ ディレクトリサーバ
３０ 社内ファイルサーバ
４０ 切断監視サーバ
６０ ＰＲＯＸＹサーバ
７０ 社内Ｗｅｂサーバ
１１，５１ 識別情報テーブル
１２，５２，３２、４２，５２，６２，７２ サーバ処理部
１３，５３ アクセス管理部
１４，５４ 認証部
２１，３１，６１，７１ 権限テーブル
２３，７３ アクセス権限管理部
２４，６３，アクセス管理部
３４，７４ アクセス制御部
３５ フォルダ
４３ ＲＡＳサーバ接続監視部
４４ 接続切断依頼受理部
３３，６３，７３ アクセス権限管理部
７５ Ｗｅｂページ
Ｌ１ 内部ネットワーク
Ｌ２ 外部ネットワーク
Ｔ１，Ｔ２ 内部端末
Ｔ３ 外部端末Ｔ３
【技術分野】
【０００１】
本発明は、外部ネットワーク上の情報処理端末から内部ネットワーク上の情報処理端末をリモート操作して内部ネットワーク上の資源にアクセスする際のセキュリティ技術に関する。内部ネットワークは、例えばイントラネットやＬＡＮ等であり、外部ネットワークは、例えばインターネット等の広域ネットワークである。
【背景技術】
【０００２】
ネットワーク技術及びコンピュータ技術の発達により、自宅のパーソナルコンピュータなど、外部ネットワークに接続された情報処理端末（以下、「外部端末」と称する場合がある）で、内部ネットワークに接続された企業内、組織内あるいはグループ内（便宜上、これらを「社内」とし、それ以外を「社外」とする）の情報処理端末（以下、社内の情報処理端末を「内部端末」と称する場合がある）と実質的に同じ環境を実現するテレワークが容易になっている。テレワークを可能にしたのは、インターネットやイントラネット等のネットワークインフラの普及のほかに、情報処理端末用のオペレーティングシステムにリモートデスクトップの機能が搭載され、あるいは搭載可能になったことによる。
【０００３】
「リモートデスクトップ」は、ネットワークを介して接続された別の情報処理端末（「リモート端末」）の画面を自分の情報処理端末（「ローカル端末」）の画面上にそのまま表示して、ローカル端末上でリモート端末を操作することができるツールであり、オペレーティングシステムによっては「ターミナルサービス」と呼ばれることもある。このツールを用いることにより、ユーザは、社内で通常利用している内部端末をリモート端末とし、自宅のＰＣなどを外部端末とすることで、テレワークを実現することができる。
【０００４】
しかし、リモートデスクトップでは、リモート端末に、社内の情報蓄積ないし管理のシステム（以下「社内システム」と称する）が接続されている場合に、社内システム内の情報が外部に漏洩しやすいという問題がある。
【０００５】
この問題を解決するため、従来、特開２００６−２２９７４２号公報に記載された情報漏洩防止の発明がある。この発明は、社内システムへのアクセスがあった場合、そのアクセスが、内部端末によるものか、外部端末によるものかを判定し、外部端末からのアクセスであった場合には、その外部端末へ出るデータを暗号化することにより、情報漏洩を防ぐというものである。例えば、インターネットカフェのような不特定多数のユーザが利用する外部端末を利用する場合、この発明では、データを送信する際にそれを暗号化することにより、外部端末のキャッシュファイルにおいても暗号化された状態で保存されるようにする。これにより、万が一キャッシュファイルを通じてデータが取得された場合であっても、復号鍵を持つ者以外は、それを復号することができないため、情報漏洩の危険を回避することができる。
【０００６】
同じく外部への情報漏洩を防止するための発明として、特開２００５−３０３３７６号公報に記載されたものがある。この発明は、外部端末から内部端末の一種である画像処理装置へのアクセスがあった場合に、操作元の機器やアプリケーションが認証済みのものであるか否かを判定し、その結果により、画像処理装置に対して実行可能な操作を制限するというものである。このようにして、不特定多数の外部端末から機密データ等にアクセスすることを防いでいる。
【０００７】
【特許文献１】特開２００６−２２９７４２号
【特許文献２】特開２００５−３０３３７６号
【発明の開示】
【発明が解決しようとする課題】
【０００８】
リモートデスクトップを利用したテレワークを円滑にしつつ外部への情報漏洩を防ぐためには、内部端末から社内システムへのアクセスがあったときに、その内部端末からのアクセスが、社内操作によるものか、外部端末を通じてなされた操作によるものかを識別し、識別結果に応じてアクセス権限に差をつけることが望ましい。例えば、社内システムがＷｅｂサーバとファイルサーバとを含み、Ｗｅｂサーバでは「秘密Ｗｅｂページ」と「機密Ｗｅｂページ」とが保存され、他方、ファイルサーバには、フォルダ単位に「秘密ファイル」と「機密ファイル」がそれぞれ保存されているとすると、以下の要件を充たすことが望ましい。
【０００９】
（１）社内操作はアクセス制限無し
社内の内部端末で直接アクセスする場合や、社内のローカル端末から社内のリモート端末にリモートデスクトップしてアクセスする場合、すなわち社内操作については、Ｗｅｂサーバのすべてのページ及びファイルサーバのすべてのファイルにアクセス可能とする。
（２）外部端末を通じてなされた操作によるアクセスは一定の制限有り
外部端末から社内のリモート端末にリモートデスクトップしてアクセスする場合には、「秘密Ｗｅｂページ」又は「秘密ファイル」のみにアクセスを許可し、「機密Ｗｅｂページ」及び「機密ファイル」へのアクセスを禁止する。
【００１０】
現在のところ、この要件を充足する技術は存在しない。例えば、上述した特開２００６−２２９７４２号公報及び特開２００５−３０３３７６号公報に記載されている発明においても、内部端末からのアクセスである限り、社内システム側では、それが社内操作によるアクセスか、リモートデスクトップでログインされている外部端末からのアクセスなのかを区別することができない。
【００１１】
本発明は、上記の要件を充足することができる情報処理システム及びコンピュータプログラムを提供することを、主たる課題とするものである。
【課題を解決するための手段】
【００１２】
本発明の情報処理システムは、ユーザが、内部ネットワークに接続可能な外部ネットワーク上の第１端末から前記内部ネットワーク上の第２端末をリモート操作することにより、又は、前記内部ネットワーク上の第３端末から前記第２端末をリモート操作することにより、前記第２端末がアクセス可能な前記内部ネットワーク上の資源へのリモートアクセスを許容する情報処理システムであって、前記第１端末からのリモートアクセスであることを識別するためのリモート識別情報を、当該第１端末を操作するユーザを識別するためのユーザ識別情報と関連付けて所定の記憶領域に保持する識別情報保持手段と、前記資源へのアクセス時に参照される、前記ユーザによる当該資源へのアクセス許容範囲を定めた権限テーブルと、前記ユーザ識別情報を伴う前記第１端末からのアクセス時に、当該ユーザ識別情報に関連付けられた前記リモート識別情報が前記識別情報保持に保持されているかどうかを判定し、記録されているときに、前記第１端末からのリモートアクセスに先立ち、前記ユーザ識別情報により特定されるユーザについての前記アクセス許容範囲を、前記第３端末によるリモートアクセス時又は前記第２端末による直接アクセス時の範囲と異ならせる制御手段と、を有するネットワーク対応型の情報処理システムである。
【００１３】
この情報処理システムでは、ユーザについてのリモート識別情報が識別情報保持手段に保持されていることを前提として、そのユーザが第１端末を操作して第２端末をリモート操作しようとしたときに、制御手段が、リモートアクセスに先立ち、前記リモート識別情報をもとに、資源へのアクセス許容範囲を第３端末によるリモートアクセス時又は第２端末による直接アクセス時の範囲と異ならせるので、内部ネットワーク上の第２端末からのアクセスであっても、それを操作する端末がどのネットワーク上に存在するかによって、資源へのアクセス許容範囲を変えることができる。
【００１４】
この情報処理システムにおいて、前記制御手段は、前記内部ネットワーク上に存在する第１サーバと、この第１サーバと通信可能に接続された第２サーバとを含んで構成することができる。
第１サーバは、前記第１端末による前記内部ネットワークとの通信路確立のためのアクセス時に、前記判定を伴う認証を行う認証手段と、この認証手段により認証結果が正当で、かつ、前記リモート識別情報が前記リモート識別情報保持手段に保持されていると判定されたときに、前記ユーザが前記外部ネットワークからリモートアクセスしようとしていることを表すアクセス情報を前記第２サーバへ伝達する伝達手段とを有するものである。また、第２サーバは、前記アクセス情報の受信を契機に、前記ユーザについての前記権限テーブルのアクセス許容範囲を、前記第３端末によるリモートアクセス時又は前記第２端末による直接アクセス時よりも縮小させる権限管理手段とを有するものである。
【００１５】
前記資源は、例えば、前記内部ネットワーク上のファイルサーバに、フォルダ毎に格納されている複数の電子ファイルである。この場合、前記権限テーブルには、前記電子ファイルが格納されているフォルダ毎に、それぞれアクセスが許可又は禁止される前記ユーザ識別情報が更新自在に設定されるようにし、前記第２サーバを、前記アクセス情報の受信を契機に、前記ユーザによるアクセスが許可されるフォルダの数が減少するように前記権限テーブルを更新するように構成する。
【００１６】
前記第２サーバを、前記第２端末の代理アクセスを行うプロキシサーバとし、前記資源を、前記プロキシサーバが代理アクセス可能なＷｅｂサーバに掲載されている複数のＷｅｂページとすることができる。この場合、前記権限テーブルには、前記Ｗｅｂページ毎に、それぞれアクセスが許可又は禁止される前記ユーザ識別情報が設定されるようにし、前記プロキシサーバは、例えば、前記アクセス情報の受信を契機に、前記権限テーブルに記録されている情報に基づいて、前記ユーザへのアクセス許容範囲が、前記第３端末によるリモートアクセス時又は前記第２端末による直接アクセス時よりも縮小するように、当該ユーザからの通信パケットの内容を更新する権限管理手段とを有するものとする。
【００１７】
前記制御手段は、前記第１端末からのリモートアクセスの終了検知時又は前記第２端末からの指示に基づき、前記権限テーブルにおいて縮小したアクセス許容範囲を当該リモートアクセスの発生前の範囲に復帰させる切断監視手段をさらに備えるものとすることができる。これにより、ユーザが第２端末を操作する場合に、アクセスできない資源が発生してしまうことを防ぐことができる。
【００１８】
本発明のコンピュータプログラムは、コンピュータを上述した情報処理システムとして機能させるものである。すなわち、本発明のコンピュータプログラムは、記憶装置と共に内部ネットワークに接続されたコンピュータを、ユーザが、前記内部ネットワークに接続可能な外部ネットワーク上の第１端末から前記内部ネットワーク上の第２端末をリモート操作することにより、又は、前記内部ネットワーク上の第３端末から前記第２端末をリモート操作することにより、前記第２端末がアクセス可能な前記内部ネットワーク上の資源へリモートアクセスを行うことを許容する情報処理システムとして動作させるコンピュータプログラムであって、前記記憶装置に、前記資源へのアクセス時に参照される、前記ユーザによる当該資源へのアクセス許容範囲を定めた権限テーブルとを形成するとともに、前記コンピュータを、前記外部ネットワークからのリモートアクセスであることを識別するためのリモート識別情報を、前記ユーザを識別するためのユーザ識別情報と関連付けて、前記記憶装置における所定の記録領域に保持する識別情報保持手段、及び、前記ユーザ識別情報を伴う前記第１端末からのアクセス時に、当該ユーザ識別情報に関連付けられた前記リモート識別情報が保持されているかどうかを判定し、保持されているときに、前記第１端末からのリモートアクセスに先立ち、前記ユーザ識別情報により特定されるユーザについての前記権限テーブルのアクセス許容範囲を、前記第３端末によるリモートアクセス時又は前記第２端末による直接アクセス時の範囲と異ならせるアクセス制御手段、として機能させる、コンピュータプログラムである。
【発明の効果】
【００１９】
本発明によれば、外部ネットワーク上の第１端末から内部ネットワーク上の第２端末をリモート操作で動作させる際に、動作させている第２端末のアクセス権限を、外部ネットワークからのリモートアクセスか、内部ネットワークからのリモートアクセス又は直接アクセスかに基づいて、内部ネットワーク上の資源へのアクセス権限を変化させることができる。
【発明を実施するための最良の形態】
【００２０】
以下、本発明を、社内のイントラネットのような内部ネットワークに設けられる、ネットワーク対応型の情報処理システムに適用した場合の実施の形態例を説明する。内部ネットワークには、この情報処理システムを通じて、インターネットのような外部ネットワークに接続できるようになっている。
【００２１】
［第１実施形態］
図１は、第１実施形態の情報処理システムの全体構成図である。情報処理システム１は、内部ネットワークＬ１上（「ネットワーク上」とは、ネットワークに接続され、そのネットワークにおいて認識されている状態をいう。以下同じ）で互いに連携する複数のサーバを含んで構成される。すなわち、この実施形態の情報処理システム１は、それぞれ内部ネットワークＬ１に、ＲＡＳ（Remote Access Service）サーバ１０、ディレクトリサーバ２０、社内ファイルサーバ３０、切断監視サーバ４０、及び、複数の内部端末Ｔ１，Ｔ２が接続され、所定の権限情報の管理のもとで、相互にアクセスすることができる。ＲＡＳサーバ１０には、外部端末Ｔ３が接続可能な外部ネットワークＬ２が接続されている。
内部端末Ｔ１，Ｔ２及び外部端末Ｔ３には、前述した「リモートデスクトップ」の機能が搭載されており、例えばユーザが、このリモートデスクトップの機能を利用して、テレワークを行うことができるようになっている。
【００２２】
ＲＡＳサーバ１０は、外部ネットワークＬ２から内部ネットワークＬ１へのアクセスを制御する。このＲＡＳサーバ１０は、サーバ本体のプロセッサがＲＡＳサーバ用プログラムを実行することにより、図２に示すように、識別情報テーブル１１をサーバ本体の所定の記憶領域に構築するとともに、そのサーバ本体を、適宜、サーバ処理部１２、アクセス管理部１３及び認証部１４として機能させる。
【００２３】
識別情報テーブル１１は、例えば図３に示す内容のものである。この識別情報テーブル１１には、ユーザ毎のフィールドが設けられている。「Ｎｏ．」で区別される各フィールドには、ＲＡＳ−ＩＤと、Ｄ−ＩＤとが相互に関連付けて記録される。ＲＡＳ−ＩＤは、外部端末Ｔ３を操作元とするリモートアクセス（以下、「社外アクセス」とする）を内部端末Ｔ２を操作元とするリモートアクセス、又は、内部端末Ｔ１を操作元とする直接アクセス（以下、「社内アクセス」とする）と区別するためのリモート識別情報である。本例では、ＲＡＳ−ＩＤに、所定の英数字を割り当てるが、割り当てる符号は任意であって良い。Ｄ−ＩＤは、内部ネットワークＬ１において、アクセスを許可するユーザを識別するためのユーザ識別情報である。このＤ−ＩＤは、ユーザが内部ネットワークＬ１において通常利用する常用ＩＤであり、社内において任意に設定することができる。
【００２４】
サーバ処理部１２は、他のサーバ２０，３０，４０と連携するとともに、外部端末Ｔ３からのアクセス（認証要求、セッション確立要求、リモートアクセス要求等）を制御する処理を行う。ＲＡＳの機能及びサーバ処理の内容自体は、公知のものである。
認証部１４は、外部ネットワークＬ２に接続されている外部端末Ｔ３による内部ネットワークＬ１との通信路（セッション）確立のためのアクセス時に、そのユーザのＤ−ＩＤ並びに、そのＤ−ＩＤに紐付けられたＲＡＳ−ＩＤが識別情報テーブル１１に記録されているかどうかの判定を伴う認証を行う。アクセス管理部１３は、認証部１４により認証結果が正当で、かつ、ＲＡＳ−ＩＤが識別情報テーブル１１に記録されていると判定されたときに、ユーザが社外アクセスしようとしていることを表す社外アクセス情報をディレクトリサーバ２０に伝達する。
【００２５】
ディレクトリサーバ２０は、ユーザのＤ−ＩＤとそのユーザが現在所属するグループの情報とを管理する。このディレクトリサーバ２０は、ディレクトリサーバ用プログラムを実行することにより、図４に示すように、権限テーブル２１をサーバ本体の所定の記憶領域に形成するとともに、そのサーバ本体を、適宜、サーバ処理部２２、及び、アクセス権限管理部２３として機能させる。
【００２６】
権限テーブル２１の一例を図５に示す。この権限テーブル２１は、社内ファイルサーバ３０が、ユーザのアクセス権限を確認する際に参照されるもので、上述したＤ−ＩＤと、Ｄ−ＩＤにより特定されるユーザが現在所属しているユーザグループが何であるかを示すユーザグループ名とをアクセス権限として、相互に関連付けて記録する。ユーザグループは、社内アクセスと社外アクセスとを、共同で業務を行う複数のユーザ毎に区別するために導入される概念である。本例では、社内アクセスするユーザのユーザグループ名を「ＷＯＲＫ」、社外アクセスするユーザのユーザグループ名を「ＴＥＬＥ」のように設定する。後述するように、「ＴＥＬＥ」の資源へのアクセス許容範囲は、「ＷＯＲＫ」よりも縮小したものとなっている。なお、ユーザグループは２つに限定する必要はなく、３つ以上であっても良い。初期状態では、権限テーブル２１に記録されているすべてのユーザについてのユーザグループ名は「ＷＯＲＫ」となる。
【００２７】
サーバ処理部２２は、他のサーバ１０，３０，４０と連携する処理を行う。サーバ処理の機能自体は、公知のものである。アクセス権限管理部２３は、ＲＡＳサーバ１０からの社外アクセス情報の受信を契機に、ユーザがアクセスできる資源の範囲を社内アクセス時よりも縮小させるために、そのユーザが所属するユーザグループを「ＷＯＲＫ」から「ＴＥＬＥ」に変更させる。
【００２８】
社内ファイルサーバ３０は、内部ネットワークＬ１上に設けられるもので、資源の一例となる電子ファイルへのアクセスの許可又は禁止を制御する。この社内ファイルサーバ３０は、サーバ本体のプロセッサがファイルサーバ用プログラムを実行することにより、図６に示すように、権限テーブル３１及びそれぞれ機密レベルの異なる電子ファイルを格納した複数のフォルダ３５をサーバ本体の所定の記憶領域に構築するとともに、そのサーバ本体を、適宜、サーバ処理部３２、アクセス権限管理部３３、及び、アクセス制御部３４として機能させる。
【００２９】
権限テーブル３１の一例を図７に示す。権限テーブル３１は、フィールド番号（「Ｎｏ．」）と、電子ファイルのフォルダを識別するためのフォルダＩＤ（「フォルダ」）と、当該フォルダに記録されている電子ファイルの閲覧を許可するユーザグループ（「許可」）と、当該フォルダに記録されている情報の閲覧を禁止するためのユーザグループ（「禁止」）とが設定される。図示の例では、第１フィールド（Ｎｏ．１）には、フォルダ名「￥secret」の電子ファイルの閲覧を許可するのが「ＷＯＲＫ」及び「ＴＥＬＥ」の双方のユーザグループであり、禁止されるユーザグループが存在しないことを表す「Ｎ／Ａ」が設定されている。第２フィールド（Ｎｏ．２）には、フォルダ名「￥topsecret」の電子ファイルの閲覧を許可するユーザグループとして「ＷＯＲＫ」のみが設定され、禁止されるグループとして「ＴＥＬＥ」が設定されている。つまり、社外アクセスによる閲覧を制限する。なお、禁止されるユーザグループ名については、その設定を省略することもできる。
【００３０】
サーバ処理部３２は、他のサーバ１０，２０，４０と連携する処理を行う。サーバ処理の機能自体は、公知のものである。アクセス権限管理部３３は、ユーザからのアクセスがあった際に、そのユーザが所属するユーザグループが「ＷＯＲＫ」であるか「ＴＥＬＥ」であるかを確認し、権限テーブル３１によれば、それが、アクセスが許可されるユーザグループであるか、あるいは、禁止されるユーザグループかによって、閲覧可能なフォルダ３５の範囲を変えるためのアクセス権限を与える。アクセス制御部３４は、このアクセス権限に基づいて該当するフォルダ３５へのアクセスを許可又は禁止するための制御を行う。
【００３１】
切断監視サーバ４０は、外部アクセスがあったときにその切断検知時又は内部端末からの指示に基づき、閲覧が制限されている電子ファイルの範囲をリモートアクセス前の状態に復帰させるための処理を行う。この切断監視サーバ４０は、サーバ本体のプロセッサが監視サーバ用プログラムを実行することにより、図８に示すように、そのサーバ本体を、適宜、サーバ処理部４２、ＲＡＳサーバ接続監視部４３、及び、接続切断依頼受理部４４として機能させる。
【００３２】
サーバ処理部４２は、他のサーバ１０，２０，３０と連携する処理を行う。サーバ処理の機能自体は、公知のものである。ＲＡＳサーバ接続監視部４３は、外部端末Ｔ３からＲＡＳサーバ１０への接続状況、すなわち社外アクセスの状況を監視し、切断が検知されたときに、該当するユーザ識別情報をディレクトリサーバ２０に通知し、権限テーブル２１におけるグループグループ名をリモートアクセス前の状態、つまり社内アクセス時のものに復帰するように依頼する。具体的には、切断が検知されたユーザが所属していたユーザグループを「ＴＥＬＥ」から「ＷＯＲＫ」に更新させる。
【００３３】
接続切断依頼受理部４４は、社外アクセスによってリモート操作されている内部端末Ｔ１からのＲＡＳサーバ切断依頼を受理し、ＲＡＳサーバ接続中であっても強制的にディレクトリサーバ２０に切断通知をすることにより、該当するユーザのユーザグループを社内アクセス時のものに復帰させる。これは、何らかの事情で社外からＲＡＳサーバ１０に接続した状態のまま、ユーザが内部端末Ｔ１を利用する場合に、ユーザグループが「ＴＥＬＥ」のままだとアクセスできない電子ファイルが生じてしまうことを防ぐための機能である。
【００３４】
［運用形態例］
次に、この実施形態の情報処理システム１の運用形態例を、図９を参照して説明する。
図９は、各サーバ１０，２０，３０，４０の連携の様子を、処理の手順図として示したものである。ここでは、上述したリモートデスクトップを利用して、ユーザ（Ｄ−ＩＤ「user1」で特定されるユーザ）が、外部端末Ｔ３から内部端末Ｔ１に社外アクセスする場合の例を挙げる。
【００３５】
ユーザは、まず、内部ネットワークＬ１に入るための認証を受けるために、外部端末Ｔ３からＲＡＳ−ＩＤ（123456）又はＤ−ＩＤ（user1）を伴う認証情報をＲＡＳサーバ１０へ送る（ステップＳ１１）。ＲＡＳサーバ１０は、識別情報テーブル１１を参照して、そのユーザについて、少なくともＲＡＳ−ＩＤが識別情報テーブル１１に記録されているかどうかを判定する。記録されていない場合は、リモートアクセス不可のメッセージを外部端末Ｔ３へ送る。記録されている場合は、Ｄ−ＩＤ（user1）をディレクトリサーバ２０に通知する。これにより、ユーザが社外アクセスしようとしていることを、ディレクトリサーバ２０に知らせることができる（ステップＳ１２）。
【００３６】
ディレクトリサーバ２０は、ＲＡＳサーバ１０からの通知に基づき、権限テーブル２１における、そのユーザが所属するユーザグループ名を「ＷＯＲＫ」から「ＴＥＬＥ」に更新する。認証を終えたユーザが、外部端末Ｔ３からリモートデスクトップ経由で内部端末Ｔ１へログインする時点では（ステップＳ１３）、権限テーブル２１におけるユーザのグループは、既に「ＷＯＲＫ」から「ＴＥＬＥ」に切り替わっている。
ユーザは、リモートデスクトップ経由でログインした内部端末Ｔ１を通じて、社内ファイルサーバ３０へのアクセスを開始する（ステップＳ１４）。
【００３７】
社内ファイルサーバ３０は、アクセスしてきたユーザの現在のユーザグループが何であるかを知るために、ディレクトリサーバ２０にアクセスする。ディレクトリサーバ２０は、権限テーブル２１に記録されている現在のユーザグループを社内ファイルサーバ３０に閲覧させる。あるいは、そのユーザグループ名を自らサーチし、サーチ結果を社内ファイルサーバ３０に通知する。社内ファイルサーバ３０は、そのユーザグループ名に応じて、アクセスを許容するフォルダ３５へのアクセス制御を行う（ステップＳ１５）。アクセスが許可されたフォルダの電子ファイルは、リモート操作された内部端末Ｔ１を経由して操作元の外部端末Ｔ３に送られる（ステップＳ１６）。これにより、外部端末Ｔ１は、社内ファイルシステム３０内の所望の電子ファイルを社外より閲覧することができる。
【００３８】
目的が達成したとして、ユーザがリモートアクセスを切断した場合、あるいは、内部端末Ｔ１からの切断要求が発せられた場合（ステップＳ１７）、切断監視サーバ４０は、アクセスしてきたユーザのユーザグループ名をアクセス前の状態に復帰させるための処理を行う（ステップＳ１８）。これにより、そのユーザのユーザグループは、「ＴＥＬＥ」から、元の「ＷＯＲＫ」に戻る。
以上は、外部端末Ｔ３からの社外アクセスの場合の例であるが、内部端末Ｔ２から内部端末Ｔ１へのリモートアクセス、あるいは、内部端末Ｔ１による直接アクセスの場合は、ＲＡＳサーバ１０を経由しないので、ユーザグループ名が変化することがなく、社内アクセスとして扱われる。
【００３９】
このように、本実施形態の情報処理システム１によれば、内部端末Ｔ１によるアクセスであっても、その操作元が内部端末Ｔ１，Ｔ２となる社内アクセスである場合は、社内ファイルサーバ３０へのアクセスの制限が無く、他方、その操作元が外部端末Ｔ３となる社外アクセス時のみ、一定のアクセス制限を行うようにしたので、リモートデスクトップを利用したテレワークを円滑にしつつ、外部への情報漏洩を有効に防ぐことができる。
【００４０】
なお、この実施形態では、資源である電子ファイルにアクセスする際の権限を、「ＷＯＲＫ」や「ＴＥＬＥ」のように、そのユーザが所属するユーザグループ毎に定めた例を示したが、この権限は、ユーザ毎に定めても本発明の実施は可能である。この場合は、ユーザグループ名に代えて、Ｄ−ＩＤその他のユーザ固有の情報を用いれば良い。
また、第１実施形態では、ＲＡＳサーバ１０、ディレクトリサーバ２０、社内ファイルサーバ３０及び切断監視サーバ４０上の機能実現手段（サーバ処理部１１，２１，３１，４１等）が、それぞれ独立のコンピュータプログラムによって形成される場合の例を示したが、これらのコンピュータプログラムを１つに統合し、それをインストールするサーバ本体側で、自己に割り当てられた機能実現手段を選択して形成するようにしても良い。
また、第１実施形態では、複数のサーバ１０〜４０の連携による情報処理システム１の例を示したが、この情報処理システム１を１つのサーバで実現することもできる。この場合は、上述した権限テーブル３１，４１を１つの権限テーブルとして統合し、各サーバ１０〜４０について説明した機能が、その１つのサーバ本体において、適宜形成されるようにすれば良い。
【００４１】
［第２実施形態］
次に、本発明の第２実施形態を説明する。この実施形態では、第１実施形態のような権限テーブル３１，４１におけるユーザグループ名の書き換えではなく、外部端末Ｔ３からの通信パケットに含まれているユーザ識別情報そのものを書き換える場合の例を挙げる。本例では、便宜上、外部端末Ｔ３が接続される外部ネットワークＬ２がインターネットであるものとする。
【００４２】
図１０は、第２実施形態による情報処理システム２の全体構成図である。図１に示した情報処理システム１との相違は、ＲＡＳサーバ５０が、リモート識別情報であるＲＡＳ−ＩＤ及び常用ＩＤであるＤ−ＩＤのほかに、リモートアクセスを行う内部端末Ｔ１，Ｔ２のＩＰ（Internet Protocol）アドレスをも紐付けて管理するものであること、及び、ディレクトリサーバ２０及び社内ファイルサーバ３０に代えて、ＰＲＯＸＹサーバ６０及び社内Ｗｅｂサーバ７０を設け、内部端末Ｔ１から社内Ｗｅｂサーバ７０へのアクセスは、必ずＰＲＯＸＹサーバ６０を経由するようにしたことである。他の構成要素の機能等については、図１に示したものとほぼ同じなので、同じ符号を付して、その説明を省略する。
【００４３】
ＲＡＳサーバ５０の機能構成は、図１１に示すとおりである。図１との関係では、サーバ処理部５２がサーバ処理部１２、アクセス管理部５３がアクセス管理部１３、認証部５４が認証部１４、識別情報テーブル５１が識別情報テーブル１１にそれぞれ対応する。すなわち、ＲＡＳサーバ５０において実現される各機能は、基本的に図１に示したＲＡＳサーバ１０の機能と同じである。相違点は、ユーザからのアクセスが社外アクセスであることのアクセス管理部５３による通知先がＰＲＯＸＹサーバ６０であること、識別情報テーブル５１に記録されるユーザの情報に、リモート操作される内部端末Ｔ１，Ｔ２のＩＰアドレスが付加されることである。
【００４４】
識別情報テーブル５１の内容例を図１２に示す。図１２において、ＲＡＳ−ＩＤ及びＤ−ＩＤについては、第１実施形態の場合と同じである。「ＩＰ」は、上述したリモート操作される内部端末Ｔ１，Ｔ２のＩＰアドレスである。
【００４５】
ＰＲＯＸＹサーバ６０は、内部端末Ｔ１から社内Ｗｅｂサーバ７０への代理アクセスを行う。このＰＲＯＸＹサーバ６０は、サーバ本体のプロセッサがＰＲＯＸＹ用プログラムを実行することにより、図１３に示すように、権限テーブル６１をサーバ本体の所定の記憶領域に構築するとともに、そのサーバ本体を、適宜、サーバ処理部６２、及び、アクセス権限管理部６３として機能させる。
【００４６】
権限テーブル６１は、社内Ｗｅｂサーバ７０において、あるいは、ＰＲＯＸＹサーバ６０が社内Ｗｅｂサーバ７０にアクセスする際に、ユーザのアクセス権限を確認する際に参照される。この権限テーブル６１には、図１４に例示されるように、Ｄ−ＩＤ毎に、リモート操作される内部端末Ｔ１のＩＰアドレス（「Ｓｒｃ ＩＰ」）と、社内Ｗｅｂサーバ７０のＩＰアドレス（「Ｄｓｔ ＩＰ」）とが、相互に関連付けられて記録されている。
なお、本例では社内資源が社内Ｗｅｂサーバ７０だけなので「Ｄｓｔ ＩＰ」が１種類だけとなっているが、社内資源が複数の場合には、権限「Ｄｓｔ ＩＰ」も複数種類となる。
【００４７】
サーバ処理部６２は、ＲＡＳサーバ５０及び社内Ｗｅｂサーバ７０等と連携するとともに、内部ネットワークＬ１上の端末、例えば内部端末Ｔ１、Ｔ２等からの通信を制御する処理を行う。
アクセス権限管理部６３は、リモート操作される内部端末Ｔ１からのＩＰパケットの内容をキャプチャし、そのＩＰパケットに含まれるＨＴＴＰ認証時のユーザのＩＤ、すなわちＤ−ＩＤを必要に応じて書き換える。具体的には、ＲＡＳサーバ５０のアクセス管理部５３から、Ｄ−ＩＤ「user1」により特定されるユーザが社外アクセスしようとしている、という内容の情報が通知された場合、ＰＲＯＸＹサーバ６０を通過するＩＰパケットが、リモート操作されている内部端末Ｔ１からのものかを、権限テーブル６１に記録されているＩＰアドレス（Ｓｒｃ ＩＰ）をもとに判定し、そうであった場合は、そのＩＰパケットに含まれるヘッダ部の内容を解読する。そして、ヘッダ部に、社内Ｗｅｂサーバ７０のＨＴＴＰ認証に必要なＤ−ＩＤ、例えば「user1」が含まれていた場合、アクセス権限管理部６３は、社外アクセスであることを社内Ｗｅｂサーバ７０で区別できるようにするために、ヘッダ部にあるＤ−ＩＤを社外アクセス用のものに書き換える。本実施形態では、便宜上、社外アクセス用のＤ−ＩＤを、予め割り当てられている社内アクセス用のＤ−ＩＤの先頭に「ｔ」を付加したものに書き換えるものとする。つまり、社内アクセス用のＤ−ＩＤが「user1」のユーザの社外アクセス用のＤ−ＩＤは、「tuser1」となる。アクセス権限管理部６３は、必要に応じて、ＩＰパケットのチェックサムの再計算も行う。
【００４８】
このように、アクセス権限管理部６３でＤ−ＩＤを書き換えることにより、社外アクセス時と社内アクセス時とで、異なるＤ−ＩＤをヘッダ部に含むＩＰパケットで社内Ｗｅｂサーバ７０で代理アクセスできるようにする。
【００４９】
Ｗｅｂサーバ７０は、社内に設置されたＷｅｂサーバであり、資源の一例となるＷｅｂページの情報を操作元に提供する。このＷｅｂサーバ７０は、サーバ本体のプロセッサがＷｅｂ用プログラムを実行することにより、図１５に示すように、権限テーブル７１と、複数のＷｅｂページ７５又はそのＷｅｂページへのアクセス用URLをサーバ本体の所定の記憶領域に構築するとともに、そのサーバ本体を、適宜、サーバ処理部７２、アクセス権限管理部７３、及びアクセス制御部７４として機能させる。
【００５０】
権限テーブル７１は、例えば図１６のような内容のものである。権限テーブル７１には、「Ｎｏ．」で区別されるフィールド毎に、アクセス対象となるＷｅｂページの分類（又はそのURL）と、そのＷｅｂページへのアクセスを許可するユーザのＤ−ＩＤ（「許可」）と、そのＷｅｂページへのアクセスを禁止するユーザのＤ−ＩＤ（「禁止」）とがアクセス権限として記録される。但し、社外アクセスか社内アクセスかを区別せず、すべてのユーザへのアクセスを許可する場合は、ユーザの個別的なＤ−ＩＤの記録に代えて「ａｎｙ」が記録される。
【００５１】
アクセス権限管理部７３は、ユーザのアクセス権限とパスワードとを管理する。すなわち、社内アクセス用のＤ−ＩＤと、社外アクセス用のＤ−ＩＤとの間で、認証時に使用するパスワードを同期させる。パスワードが変更された場合は、これらのＤ−ＩＤ間で、変更されたパスワードが同期されるようにする。
【００５２】
アクセス制御部７４は、ユーザの現在のＤ−ＩＤに応じてＷｅｂページ７５へのアクセスを許可又は禁止するための制御を行う。具体的には、権限テーブル７１を参照して、操作元がどこからであっても、ユーザが閲覧が可能なＷｅｂページ７５（ａｎｙ）に対しては、すべてのユーザのアクセスを許可し、社外アクセスされたくないＷｅｂページには、Ｄ−ＩＤの先頭に「ｔ」のつくユーザからのアクセスを拒否する。
【００５３】
［運用形態例］
次に、第２実施形態によるシステムの動作を図１７を参照して説明する。
図１７は、各サーバ１０，４０，５０，６０，７０の連携の様子を、処理の手順図として示したものである。第１実施形態と同様、上述したリモートデスクトップを利用して、ユーザ（Ｄ−ＩＤ「user1」で特定されるユーザ）が、外部端末Ｔ３から内部端末Ｔ１にリモートアクセスする場合の例を挙げる。
【００５４】
ユーザは、まず、内部ネットワークＬ１に入るための認証を受けるために、外部端末Ｔ３からＲＡＳ−ＩＤ（123456）、Ｄ−ＩＤ（user1）、ＩＰアドレス（10.8.0.2）、又は、これらの組み合わせを伴う認証情報をＲＡＳサーバ５０へ送る（ステップＳ２１）。ＲＡＳサーバ１０は、識別情報テーブル１１を参照して、そのユーザについて、少なくともＲＡＳ−ＩＤが識別情報テーブル１１に記録されているかどうかを判定する。記録されていない場合、ＲＡＳサーバ５０は、リモートアクセス不可のメッセージを外部端末Ｔ３へ送る。記録されている場合は、Ｄ−ＩＤ（user1）及びＩＰアドレス（10.8.0.2）をＰＲＯＸＹサーバ６０に通知する。
これにより、Ｄ−ＩＤ（user1）により特定されるユーザが、ＩＰアドレスで特定される内部端末Ｔ１をリモート操作して内部ネットワークＬ１にアクセスしていることを、ＰＲＯＸＹサーバ６０に知らせることができる（ステップＳ２２）。
ＰＲＯＸＹサーバ６０は、ＲＡＳサーバ１０から通知された情報をもとに、権限テーブル６１の内容を更新する。
【００５５】
ユーザが内部端末Ｔ１にリモートデスクトップ経由でログインし（ステップＳ２３）、その内部端末Ｔ１が、社内Ｗｅｂサーバ７０へのアクセスを、ＰＲＯＸＹサーバ６０経由で開始する（ステップＳ２４、Ｓ２５）。
ＰＲＯＸＹサーバ６０は、ユーザからのＩＰパケットを監視し、そのユーザが、ＨＴＴＰ認証に必要となるＤ−ＩＤを含むＩＰパケットを送信していることが判明した場合は、そのＩＰパケットをフックし、Ｄ−ＩＤ及びチェックサムの書き換えを行う。
社内Ｗｅｂサーバ７０は、書き換えられたそのＤ−ＩＤに応じて、リクエストのあったＷｅｂページ７５の表示又は非表示の制御を行う。表示が許可されたときは、そのＷｅｂページの情報が、リモート操作された内部端末Ｔ１を経由して外部端末Ｔ３上で表示される（ステップＳ２６）。これにより、外部端末Ｔ１は、社内Ｗｅｂサーバ７０内の所望のＷｅｂページを社外より閲覧することができる。
【００５６】
目的が達成したとして、ユーザが社外アクセスを切断した場合、あるいは、内部端末Ｔ１その他の内部端末からの切断要求が発せられた場合（ステップＳ２７）、切断監視サーバ４０は、アクセスしてきたユーザの情報を社外アクセス前の状態に戻すための処理を行う（ステップＳ２８）。具体的には、そのユーザの社外アクセス用のＤ−ＩＤを削除するように、ＰＲＯＸＹサーバ６０へ依頼する。ＰＲＯＸＹサーバ６０は、この情報を削除する。これにより、ユーザは、内部端末Ｔ１による社内アクセスが可能になる。
【００５７】
内部端末Ｔ２から内部端末Ｔ１へのリモートアクセス、あるいは、内部端末Ｔ１による直接アクセスの場合は、ＩＰアドレスが書き換わらないので、社内アクセスとして扱われる点は、第１実施形態の場合と同じである。
【００５８】
このように、本発明の情報処理システム１，２によれば、既存技術ではできなかった、リモートアクセスの操作元に応じた、内部端末Ｔ１から社内の資源へのアクセス制限が可能になる。すなわち、リモートデスクトップ経由で内部端末Ｔ１にアクセスされる場合、操作元が外部端末Ｔ３である場合には、社内ファイルシステム３０又は社内Ｗｅｂサーバ７０において、機密性の高い情報（資源）の閲覧等が制限される。そのため、外部への情報漏洩を防ぐことができる一方で、外部ネットワークＬ２経由での利用が許可される情報に関しては、これまで通り、制限されることなくその閲覧等が可能となる。また、操作元が内部ネットワークＬ１上の他の内部端末Ｔ２である場合は、ＲＡＳサーバ１０，５０を経由しないので、資源に対して制限なくアクセスすることができる。これにより、外部への情報漏洩を防止しつつ、例えばテレワーク等を円滑に実現することができる。
【００５９】
なお、ＲＡＳサーバ５０、ＰＲＯＸＹサーバ６０、社内Ｗｅｂサーバ７０及び切断監視サーバ４０上の機能実現手段を、１つのコンピュータプログラムに統合し、それをインストールするサーバ本体側で、自己に割り当てられた機能実現手段を選択して形成するようにしても良い点、複数のサーバ４０〜７０の連携によるのではなく、情報処理システム２を１つのサーバで実現しても良い点は、第１実施形態と同じである。
【図面の簡単な説明】
【００６０】
【図１】本発明の第１実施形態による情報処理システムの全体構成図。
【図２】ＲＡＳサーバサーバの機能構成図。
【図３】ＲＡＳサーバサーバが有する識別情報テーブルの内容説明図。
【図４】ディレクトリサーバの機能構成図。
【図５】ディレクトリサーバが有する権限テーブルの内容説明図。
【図６】社内ファイルサーバの機能構成図。
【図７】社内ファイルサーバが有する権限テーブルの内容説明図。
【図８】切断監視サーバの機能構成図。
【図９】第１実施形態による運用の手順例を示す説明図。
【図１０】本発明の第２実施形態による情報処理システムの全体構成図。
【図１１】ＲＡＳサーバサーバの機能構成図。
【図１２】ＲＡＳサーバサーバが有する識別情報テーブルの内容説明図。
【図１３】ＰＲＯＸＹサーバの機能構成図。
【図１４】ＰＲＯＸＹサーバが有する権限テーブルの内容説明図。
【図１５】社内Ｗｅｂサーバの機能構成図。
【図１６】社内Ｗｅｂサーバが有する権限テーブルの内容説明図。
【図１７】第２実施形態による運用の手順例を示す説明図。
【符号の説明】
【００６１】
１，２ 情報処理システム
１０ ＲＡＳサーバ，５０（リモート・アクセス・サーバ）
２０ ディレクトリサーバ
３０ 社内ファイルサーバ
４０ 切断監視サーバ
６０ ＰＲＯＸＹサーバ
７０ 社内Ｗｅｂサーバ
１１，５１ 識別情報テーブル
１２，５２，３２、４２，５２，６２，７２ サーバ処理部
１３，５３ アクセス管理部
１４，５４ 認証部
２１，３１，６１，７１ 権限テーブル
２３，７３ アクセス権限管理部
２４，６３，アクセス管理部
３４，７４ アクセス制御部
３５ フォルダ
４３ ＲＡＳサーバ接続監視部
４４ 接続切断依頼受理部
３３，６３，７３ アクセス権限管理部
７５ Ｗｅｂページ
Ｌ１ 内部ネットワーク
Ｌ２ 外部ネットワーク
Ｔ１，Ｔ２ 内部端末
Ｔ３ 外部端末Ｔ３
【特許請求の範囲】
【請求項１】
ユーザが、内部ネットワークに接続可能な外部ネットワーク上の第１端末から前記内部ネットワーク上の第２端末をリモート操作することにより、又は、前記内部ネットワーク上の第３端末から前記第２端末をリモート操作することにより、前記第２端末がアクセス可能な前記内部ネットワーク上の資源へのリモートアクセスを許容する情報処理システムであって、
前記第１端末からのリモートアクセスであることを識別するためのリモート識別情報を、当該第１端末を操作するユーザを識別するためのユーザ識別情報と関連付けて所定の記憶領域に保持する識別情報保持手段と、
前記資源へのアクセス時に参照される、前記ユーザによる当該資源へのアクセス許容範囲を定めた権限テーブルと、
前記ユーザ識別情報を伴う前記第１端末からのアクセス時に、当該ユーザ識別情報に関連付けられた前記リモート識別情報が前記識別情報保持に保持されているかどうかを判定し、記録されているときに、前記第１端末からのリモートアクセスに先立ち、前記ユーザ識別情報により特定されるユーザについての前記アクセス許容範囲を、前記第３端末によるリモートアクセス時又は前記第２端末による直接アクセス時の範囲と異ならせる制御手段と、を有する、
ネットワーク対応型の情報処理システム。
【請求項２】
前記制御手段は、前記内部ネットワーク上に存在する第１サーバと、この第１サーバと通信可能に接続された第２サーバとを含み、
前記第１サーバは、前記第１端末による前記内部ネットワークとの通信路確立のためのアクセス時に、前記判定を伴う認証を行う認証手段と、
この認証手段により認証結果が正当で、かつ、前記リモート識別情報が前記リモート識別情報保持手段に保持されていると判定されたときに、前記ユーザが前記外部ネットワークからリモートアクセスしようとしていることを表すアクセス情報を前記第２サーバへ伝達する伝達手段とを有するものであり、
前記第２サーバは、前記アクセス情報の受信を契機に、前記ユーザについての前記権限テーブルのアクセス許容範囲を、前記第３端末によるリモートアクセス時又は前記第２端末による直接アクセス時よりも縮小させる権限管理手段とを有するものである、
請求項１記載の情報処理システム。
【請求項３】
前記資源は、前記内部ネットワーク上のファイルサーバに、フォルダ毎に格納されている複数の電子ファイルであり、
前記権限テーブルには、前記電子ファイルが格納されているフォルダ毎に、それぞれアクセスが許可又は禁止される前記ユーザ識別情報が更新自在に設定されており、
前記第２サーバは、前記アクセス情報の受信を契機に、前記ユーザによるアクセスが許可されるフォルダの数が減少するように前記権限テーブルを更新する、
請求項２記載の情報処理システム。
【請求項４】
前記第２サーバは、前記第２端末の代理アクセスを行うプロキシサーバであり、
前記資源は、前記プロキシサーバが代理アクセス可能なＷｅｂサーバに掲載されている複数のＷｅｂページであり、
前記権限テーブルには、前記Ｗｅｂページ毎に、それぞれアクセスが許可又は禁止される前記ユーザ識別情報が設定されており、
前記プロキシサーバは、前記アクセス情報の受信を契機に、前記権限テーブルに記録されている情報に基づいて、前記ユーザへのアクセス許容範囲が、前記第３端末によるリモートアクセス時又は前記第２端末による直接アクセス時よりも縮小するように、当該ユーザからの通信パケットの内容を更新する権限管理手段とを有するものである、
請求項２記載の情報処理システム。
【請求項５】
前記制御手段は、前記第１端末からのリモートアクセスの終了検知時又は前記第２端末からの指示に基づき、前記権限テーブルにおいて縮小したアクセス許容範囲を当該リモートアクセスの発生前の範囲に復帰させる切断監視手段をさらに備える、
請求項１ないし４のいずれかの項記載の情報処理システム。
【請求項６】
記憶装置と共に内部ネットワークに接続されたコンピュータを、ユーザが、前記内部ネットワークに接続可能な外部ネットワーク上の第１端末から前記内部ネットワーク上の第２端末をリモート操作することにより、又は、前記内部ネットワーク上の第３端末から前記第２端末をリモート操作することにより、前記第２端末がアクセス可能な前記内部ネットワーク上の資源へリモートアクセスを行うことを許容する情報処理システムとして動作させるコンピュータプログラムであって、
前記記憶装置に、前記資源へのアクセス時に参照される、前記ユーザによる当該資源へのアクセス許容範囲を定めた権限テーブルとを形成するとともに、
前記コンピュータを、
前記外部ネットワークからのリモートアクセスであることを識別するためのリモート識別情報を、前記ユーザを識別するためのユーザ識別情報と関連付けて、前記記憶装置における所定の記録領域に保持するリモート識別情報保持手段、及び、
前記ユーザ識別情報を伴う前記第１端末からのアクセス時に、当該ユーザ識別情報に関連付けられた前記リモート識別情報が保持されているかどうかを判定し、保持されているときに、前記第１端末からのリモートアクセスに先立ち、前記ユーザ識別情報により特定されるユーザについての前記アクセス許容範囲を、前記第３端末によるリモートアクセス時又は前記第２端末による直接アクセス時の範囲と異ならせる制御手段、として機能させる、コンピュータプログラム。
【請求項１】
ユーザが、内部ネットワークに接続可能な外部ネットワーク上の第１端末から前記内部ネットワーク上の第２端末をリモート操作することにより、又は、前記内部ネットワーク上の第３端末から前記第２端末をリモート操作することにより、前記第２端末がアクセス可能な前記内部ネットワーク上の資源へのリモートアクセスを許容する情報処理システムであって、
前記第１端末からのリモートアクセスであることを識別するためのリモート識別情報を、当該第１端末を操作するユーザを識別するためのユーザ識別情報と関連付けて所定の記憶領域に保持する識別情報保持手段と、
前記資源へのアクセス時に参照される、前記ユーザによる当該資源へのアクセス許容範囲を定めた権限テーブルと、
前記ユーザ識別情報を伴う前記第１端末からのアクセス時に、当該ユーザ識別情報に関連付けられた前記リモート識別情報が前記識別情報保持に保持されているかどうかを判定し、記録されているときに、前記第１端末からのリモートアクセスに先立ち、前記ユーザ識別情報により特定されるユーザについての前記アクセス許容範囲を、前記第３端末によるリモートアクセス時又は前記第２端末による直接アクセス時の範囲と異ならせる制御手段と、を有する、
ネットワーク対応型の情報処理システム。
【請求項２】
前記制御手段は、前記内部ネットワーク上に存在する第１サーバと、この第１サーバと通信可能に接続された第２サーバとを含み、
前記第１サーバは、前記第１端末による前記内部ネットワークとの通信路確立のためのアクセス時に、前記判定を伴う認証を行う認証手段と、
この認証手段により認証結果が正当で、かつ、前記リモート識別情報が前記リモート識別情報保持手段に保持されていると判定されたときに、前記ユーザが前記外部ネットワークからリモートアクセスしようとしていることを表すアクセス情報を前記第２サーバへ伝達する伝達手段とを有するものであり、
前記第２サーバは、前記アクセス情報の受信を契機に、前記ユーザについての前記権限テーブルのアクセス許容範囲を、前記第３端末によるリモートアクセス時又は前記第２端末による直接アクセス時よりも縮小させる権限管理手段とを有するものである、
請求項１記載の情報処理システム。
【請求項３】
前記資源は、前記内部ネットワーク上のファイルサーバに、フォルダ毎に格納されている複数の電子ファイルであり、
前記権限テーブルには、前記電子ファイルが格納されているフォルダ毎に、それぞれアクセスが許可又は禁止される前記ユーザ識別情報が更新自在に設定されており、
前記第２サーバは、前記アクセス情報の受信を契機に、前記ユーザによるアクセスが許可されるフォルダの数が減少するように前記権限テーブルを更新する、
請求項２記載の情報処理システム。
【請求項４】
前記第２サーバは、前記第２端末の代理アクセスを行うプロキシサーバであり、
前記資源は、前記プロキシサーバが代理アクセス可能なＷｅｂサーバに掲載されている複数のＷｅｂページであり、
前記権限テーブルには、前記Ｗｅｂページ毎に、それぞれアクセスが許可又は禁止される前記ユーザ識別情報が設定されており、
前記プロキシサーバは、前記アクセス情報の受信を契機に、前記権限テーブルに記録されている情報に基づいて、前記ユーザへのアクセス許容範囲が、前記第３端末によるリモートアクセス時又は前記第２端末による直接アクセス時よりも縮小するように、当該ユーザからの通信パケットの内容を更新する権限管理手段とを有するものである、
請求項２記載の情報処理システム。
【請求項５】
前記制御手段は、前記第１端末からのリモートアクセスの終了検知時又は前記第２端末からの指示に基づき、前記権限テーブルにおいて縮小したアクセス許容範囲を当該リモートアクセスの発生前の範囲に復帰させる切断監視手段をさらに備える、
請求項１ないし４のいずれかの項記載の情報処理システム。
【請求項６】
記憶装置と共に内部ネットワークに接続されたコンピュータを、ユーザが、前記内部ネットワークに接続可能な外部ネットワーク上の第１端末から前記内部ネットワーク上の第２端末をリモート操作することにより、又は、前記内部ネットワーク上の第３端末から前記第２端末をリモート操作することにより、前記第２端末がアクセス可能な前記内部ネットワーク上の資源へリモートアクセスを行うことを許容する情報処理システムとして動作させるコンピュータプログラムであって、
前記記憶装置に、前記資源へのアクセス時に参照される、前記ユーザによる当該資源へのアクセス許容範囲を定めた権限テーブルとを形成するとともに、
前記コンピュータを、
前記外部ネットワークからのリモートアクセスであることを識別するためのリモート識別情報を、前記ユーザを識別するためのユーザ識別情報と関連付けて、前記記憶装置における所定の記録領域に保持するリモート識別情報保持手段、及び、
前記ユーザ識別情報を伴う前記第１端末からのアクセス時に、当該ユーザ識別情報に関連付けられた前記リモート識別情報が保持されているかどうかを判定し、保持されているときに、前記第１端末からのリモートアクセスに先立ち、前記ユーザ識別情報により特定されるユーザについての前記アクセス許容範囲を、前記第３端末によるリモートアクセス時又は前記第２端末による直接アクセス時の範囲と異ならせる制御手段、として機能させる、コンピュータプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【公開番号】特開２００８−２３４２５６（Ｐ２００８−２３４２５６Ａ）
【公開日】平成２０年１０月２日（２００８．１０．２）
【国際特許分類】
【出願番号】特願２００７−７２１８７（Ｐ２００７−７２１８７）
【出願日】平成１９年３月２０日（２００７．３．２０）
【出願人】（０００１０２７２８）株式会社エヌ・ティ・ティ・データ (438)
【Ｆターム（参考）】
【公開日】平成２０年１０月２日（２００８．１０．２）
【国際特許分類】
【出願日】平成１９年３月２０日（２００７．３．２０）
【出願人】（０００１０２７２８）株式会社エヌ・ティ・ティ・データ (438)
【Ｆターム（参考）】
[ Back to top ]