情報処理端末および該情報処理端末の管理サーバ
【課題】情報処理端末において高いセキュリティを確保した状態で、ユーザのニーズに応じた様々な作業環境を提供する。
【解決手段】ＨＤＤ１３ｃを有する情報処理端末１ｃに、ＨＤＤ１３ｃにおける一部の領域を、情報処理端末１ｃの起動または終了に際して初期化される一時領域８２として確保する一時領域確保部２７と、情報処理端末１ｃを使用するユーザまたは情報処理端末１ｃを識別するための識別情報を管理サーバ１ｓに送信する識別情報送信部２１と、識別情報に係る情報処理端末１ｃまたはユーザに応じたソフトウェアを管理サーバ１ｓから受信するソフトウェア受信部２８と、ソフトウェア受信部２８によって受信されたソフトウェアを一時領域８２に記録する一時領域記録部２９と、ソフトウェアを一時領域８２から読み出して実行することで、ソフトウェアの機能を、情報処理端末１ｃを使用するユーザに提供するソフトウェア実行部３１と、を備えた。
【解決手段】ＨＤＤ１３ｃを有する情報処理端末１ｃに、ＨＤＤ１３ｃにおける一部の領域を、情報処理端末１ｃの起動または終了に際して初期化される一時領域８２として確保する一時領域確保部２７と、情報処理端末１ｃを使用するユーザまたは情報処理端末１ｃを識別するための識別情報を管理サーバ１ｓに送信する識別情報送信部２１と、識別情報に係る情報処理端末１ｃまたはユーザに応じたソフトウェアを管理サーバ１ｓから受信するソフトウェア受信部２８と、ソフトウェア受信部２８によって受信されたソフトウェアを一時領域８２に記録する一時領域記録部２９と、ソフトウェアを一時領域８２から読み出して実行することで、ソフトウェアの機能を、情報処理端末１ｃを使用するユーザに提供するソフトウェア実行部３１と、を備えた。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理端末および管理サーバを有するユーザ端末管理システムに関する。
【背景技術】
【０００２】
従来、ホストコンピュータ上に、仮想マシンと呼ばれる擬似的なコンピュータハードウェアを構成し、この仮想マシン上でゲストＯＳ（オペレーティングシステム）を稼動させる、仮想マシン技術がある（例えば、特許文献１を参照）。
【０００３】
また、ホストコンピュータに直接接続されたＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）等にはＯＳを記憶させずに、起動時にＯＳをＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）やネットワークを介して接続された他のコンピュータから読み込んで起動する技術がある（例えば、特許文献２を参照）
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００５−１１５６５３号公報
【特許文献２】特開２００６−１２７１６９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
従来、情報処理端末と通信ネットワークとの組み合わせによる情報通信システムにおいて、コンピュータウィルスによる被害や情報漏洩等の事象が発生しているが、これは、近年のコンピュータの構成である、プログラムやデータを書き換え可能な記憶装置に記録していることに起因した問題である。即ち、データをユーザの意図に拘らずネットワークへ送信してしまうソフトウェアが、一旦記憶装置に記録されてしまうと、このソフトウェアはシステムに常駐し、被害が継続する。また、データをコンピュータの記憶装置に保存しているため、コンピュータが紛失または盗難されることによって、情報が漏洩する。
【０００６】
このような事象に対応するために、従来、情報処理端末にプログラムおよびデータを残さない技術が提案されている。例えば、コンピュータ上に仮想マシンと呼ばれる擬似的なコンピュータハードウェアを構成し、この仮想マシン上にてゲストＯＳを起動し、ゲストＯＳ上で作業を行うという、仮想マシン手法がある。また、情報処理端末にはＯＳを記憶させずに、ネットワークの先にＯＳイメージを用意して、起動時にネットワーク越しにダウンロードして不揮発性記憶装置を有さない情報処理端末のＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）に展開するという、所謂シンクライアント手法がある。そして、これらの手法によれば、情報処理端末上にプログラムやデータを残さず、ウィルス等のマルウェアが常駐する問題や、上処理端末から情報が漏洩する問題に対処することが出来る。
【０００７】
しかし、これらの手法では、環境は一元化され、ユーザごと、または作業ごとに環境を構築することが困難である。仮想マシン手法では、ユーザに管理者権限を与えれば、ユーザに環境を構築させることが可能であるが、ユーザが自由にソフトウェアをインストールしたり、システムに変更を加えたりする権限を有することとなり、セキュリティが損なわれる。また、ユーザに管理者権限を与えずに、管理者が情報処理端末ごと、または利用シーンごとに環境を構築させることとすると、管理者の作業量が膨大なものとなり、現実的ではない。シンクライアント手法において情報処理端末ごとまたは利用シーンごとに環境を構築するためには、ＯＳイメージを保持するサーバ側に、様々な設定のＯＳやＯＳとア
プリケーションとの組み合わせを蓄積する必要が生じ、サーバ側のリソースを大量に消費するという問題がある。
【０００８】
本発明は、上記の問題に鑑み、情報処理端末において高いセキュリティを確保した状態で、ユーザのニーズに応じた様々な作業環境を提供することを課題とする。
【課題を解決するための手段】
【０００９】
本発明は、上記の課題を解決するために、情報処理端末またはユーザに応じたソフトウェアを、不揮発性記憶装置中の、端末の起動または終了に際して初期化される領域に記録して実行することで、情報処理端末において高いセキュリティを確保した状態で、ユーザのニーズに応じた様々な作業環境を提供することを可能にした。
【００１０】
詳細には、本発明は、不揮発性記憶装置を有し、管理サーバと通信可能に接続された情報処理端末であって、前記不揮発性記憶装置における一部の領域を、該情報処理端末の起動または終了に際して初期化される一時領域として確保する一時領域確保手段と、該情報処理端末を使用するユーザまたは該情報処理端末を、識別するための識別情報を前記管理サーバに送信する識別情報送信手段と、前記識別情報に係る情報処理端末またはユーザに応じたソフトウェアを、前記識別情報を受信した前記管理サーバから受信するソフトウェア受信手段と、前記ソフトウェア受信手段によって受信されたソフトウェアを前記一時領域に記録する一時領域記録手段と、前記ソフトウェアを前記一時領域から読み出して実行することで、該ソフトウェアの機能を、前記情報処理端末を使用するユーザに提供するソフトウェア実行手段と、を備える、情報処理端末である。
【００１１】
不揮発性記憶装置とは、ＨＤＤやフラッシュＥＥＰＲＯＭ等の、電源の供給が行われなくても記録された情報が維持される記憶装置である。本発明では、この不揮発性記憶装置上に、情報処理端末の起動または終了に際して初期化される一時領域を確保し、管理サーバから受信したソフトウェアをこの一時領域に記録することで、ユーザのニーズに応じて様々な作業環境を提供可能な情報処理端末を実現している。
【００１２】
また、本発明に係る情報処理端末は、前記識別情報に係る情報処理端末に所定の作業環境を構築するためのソフトウェアの組み合わせ、または前記識別情報に係るユーザに所定のサービスを提供するためのソフトウェアの組み合わせ、を示すソフトウェアのリストを、前記識別情報を受信した前記管理サーバから受信するソフトウェアリスト受信手段と、前記ソフトウェアリスト受信手段によって受信された１または複数のリストをユーザに提示し、ユーザによるリストの選択を受け付ける受付手段と、を更に備え、前記ソフトウェア受信手段は、前記選択されたリストに含まれるソフトウェアを前記サーバから受信してもよい。
【００１３】
情報処理端末に所定の作業環境を構築するためのソフトウェアの組み合わせ、またはユーザに所定のサービスを提供するためのソフトウェアの組み合わせ、を示すソフトウェアのリストから、ユーザの所望するリストを選択させ、このリストに含まれるソフトウェアを受信することで、ユーザのニーズに応じた作業環境を用意に構築することが可能となる。
【００１４】
また、前記情報処理端末は、揮発性記憶装置を更に有し、前記一時領域記録手段は、該情報処理端末のオペレーティングシステムによる前記不揮発性記憶装置への書き込みアクセスを横取りし、該書き込みアクセスの書き込み先アドレスを前記一時領域内のアドレスへ変換することで、前記ソフトウェア受信手段によって受信されたソフトウェアを前記一時領域に記録し、前記変換された書き込みアクセスの変換前のアドレスと変換後のアドレスとの対応関係を示す変換情報を、前記揮発性記憶装置に蓄積する変換情報蓄積手段を更
に備えてもよい。
【００１５】
本発明によれば、変換情報が揮発性記憶装置に蓄積されるため、再起動や電源断等で、揮発性記憶装置に記録された変換情報が失われ、変換情報を参照して一時領域にアクセスすることが出来なくなる。これによって、一時領域からの情報の読出しが困難となり、マルウェアの残留や情報漏洩を防止することが可能となる。また、前記一時領域は、該情報処理端末の起動または終了に際して前記揮発性記憶装置に蓄積された変換情報が揮発することで初期化されてもよい。
【００１６】
また、本発明は、上記情報処理端末を管理する管理サーバとしても把握することが可能である。即ち、本発明は、ユーザによって使用される情報処理端末であるユーザ端末と通信可能に接続された管理サーバであって、前記ユーザ端末または該ユーザ端末を使用するユーザを識別するための識別情報を前記ユーザ端末より受信する識別情報受信手段と、前記識別情報に係るユーザ端末またはユーザに応じたソフトウェアを、該ユーザ端末に送信して、前記ユーザ端末の起動または終了に際して初期化される一時領域に保存させるソフトウェア送信手段と、を備える、管理サーバである。
【００１７】
このような管理サーバによって情報処理端末が管理されることで、管理者は、ユーザ端末のセキュリティを高い状態に保ちつつ、ユーザに対して柔軟に作業環境を提供することが出来る。
【００１８】
また、本発明に係る管理サーバは、前記識別情報に係る情報処理端末に所定の作業環境を構築するためのソフトウェアの組み合わせ、または前記識別情報に係るユーザに所定のサービスを提供するためのソフトウェアの組み合わせ、を示すソフトウェアのリストを蓄積するソフトウェアリスト蓄積手段と、前記識別情報に係る情報処理端末またはユーザに応じた前記リストを送信するソフトウェアリスト送信手段と、を更に備え、前記ソフトウェア送信手段は、前記ソフトウェアリスト送信手段によって送信された１または複数のリストのうちの、前記ユーザ端末において選択されたリストに基づいて該ユーザ端末より要求されたソフトウェアを、該ユーザ端末に送信してもよい。
【００１９】
また、前記リストは、該リストの有効期限を示す情報に関連付けて蓄積され、前記ソフトウェアリスト送信手段は、前記識別情報に係る情報処理端末またはユーザに応じた前記リストのうち、有効期限内にある前記リストのみを送信してもよい。これによって、管理者は、ソフトウェアリストを使用して提供される作業環境の利用期限を設定することが出来、ユーザに対して作業環境を提供する期間をコントロールすることが可能となる。
【００２０】
また、本発明に係る管理サーバは、前記識別情報受信手段によって受信された識別情報を用いて前記ユーザ端末または該ユーザ端末を使用するユーザを認証する認証手段を更に備え、前記ソフトウェア送信手段は、認証されたユーザ端末またはユーザに関連付けられたソフトウェアを送信してもよい。
【００２１】
また、本発明は、
不揮発性記憶装置を有し、管理サーバと通信可能に接続された情報処理端末であって、
前記不揮発性記憶装置における一部の領域を、該情報処理端末の起動または終了に際して初期化される一時領域として確保する一時領域確保手段と、
前記不揮発性記憶装置に対する書き込み内容を前記一時領域に記録することで、該情報処理端末を、前記不揮発性記憶装置の他の領域への書き込みが制限される制限モードで動作させる、一時領域記録手段と、
前記制限モードでの動作を終了させるための制限モード離脱用ソフトウェアを、前記管理サーバから受信するソフトウェア受信手段と、
前記ソフトウェア受信手段によって受信されて前記一時領域に記録された前記制限モード離脱用ソフトウェアを読み出して実行することで、該情報処理端末の前記制限モードでの動作を終了させる、ソフトウェア実行手段と、
を備える、情報処理端末である。
【００２２】
また、本発明は、
不揮発性記憶装置に対する書き込み内容を該不揮発性記憶装置の一時領域へ記録することで該不揮発性記憶装置の他の領域への書き込みを制限する、制限モードで動作可能な情報処理端末に対して通信可能に接続され、
前記情報処理端末によって実行されることで前記制限モードでの動作を終了させるための、制限モード離脱用ソフトウェアを蓄積するソフトウェア蓄積手段と、
前記情報処理端末に対して前記制限モード離脱用ソフトウェアを送信して、前記情報処理端末の一時領域に保存させるソフトウェア送信手段と、
を備える管理サーバである。
【００２３】
ここで、制限モード離脱用ソフトウェアとは、不揮発性記憶装置の一時領域以外の領域への書き込みが制限される制限モードを終了させるためのソフトウェアである。本発明では、このような制限モード離脱用ソフトウェアを管理サーバから配信し、情報処理端末の一時領域に記録させることで、ユーザの故意や過失による、好ましくない制限モード離脱を防止することを可能としている。また、本発明によれば、制限モード離脱用ソフトウェアを情報処理端末に恒常的に保持させることなく、管理サーバによって配信の有無を管理出来るため、制限モードの離脱の許可／不許可を、管理サーバ側で管理することが可能となる。
【００２４】
また、本発明において、
前記ソフトウェア送信手段は、前記情報処理端末における前記制限モードでの動作終了が許可される期間内である場合に、前記情報処理端末に対して前記制限モード離脱用ソフトウェアを送信してもよい。
【００２５】
即ち、本発明によれば、管理サーバによって制限モード離脱用ソフトウェアを送信する期間を管理することで、予め設定された期間内である場合にのみ、情報処理端末において制限モードを終了させることを許可し、それ以外の期間においては制限モードの終了を防止することが可能となる。
【００２６】
また、本発明に係る管理サーバは、
前記情報処理端末または該情報処理端末を使用するユーザを識別するための識別情報を前記情報処理端末より受信する識別情報受信手段を更に備え、
前記ソフトウェア送信手段は、前記識別情報に係る情報処理端末またはユーザが、前記制限モードによる動作を終了させる権限を有する情報処理端末またはユーザである場合に、前記制限モード離脱用ソフトウェアを、該情報処理端末に送信してもよい。
【００２７】
本発明によれば、情報処理端末またはユーザが、制限モードを終了させる権限を有するか否かを判断し、権限を有する場合にのみ制限モードを終了させることを許可することで、権限のない情報処理端末やユーザが制限モードを終了させてしまうことを防止出来る。
【００２８】
更に、本発明は、コンピュータが実行する方法、又はコンピュータに実行させるプログラムとしても把握することが可能である。また、本発明は、そのようなプログラムをコンピュータその他の装置、機械等が読み取り可能な記録媒体に記録したものでもよい。ここで、コンピュータ等が読み取り可能な記録媒体とは、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータ等から読
み取ることができる記録媒体をいう。
【発明の効果】
【００２９】
本発明によって、情報処理端末において高いセキュリティを確保した状態で、ユーザのニーズに応じた様々な作業環境を提供することが可能となる。
【図面の簡単な説明】
【００３０】
【図１】実施形態に係るユーザ端末管理システムのハードウェア構成の概略を示す図である。
【図２】実施形態に係るユーザ端末管理システムの機能構成の概略を示す図である。
【図３Ａ】実施形態におけるソフトウェア情報テーブルの構成を示す図である。
【図３Ｂ】実施形態におけるソフトウェア情報テーブルの構成を示す図である。
【図４】実施形態における認証情報テーブルの構成を示す図である。
【図５】実施形態における制限モード定義情報テーブルの構成を示す図である。
【図６】実施形態における記憶領域の構成を示す図である。
【図７】実施形態におけるアドレス変換テーブルを示す図である。
【図８】実施形態に係る制限モード定義情報を作成する処理の流れを示すフローチャートである。
【図９】実施形態においてディスプレイに表示される制限モード定義情報作成インターフェースのイメージを示す図である。
【図１０Ａ】実施形態における制限モード制御処理の流れを示すフローチャートである。
【図１０Ｂ】実施形態における制限モード制御処理の流れを示すフローチャートである。
【図１１】実施形態においてディスプレイに表示される制限モード定義情報選択インターフェースのイメージを示す図である。
【図１２】実施形態においてディスプレイに表示される制限モード離脱インターフェースのイメージを示す図である。
【図１３】実施形態における非制限モード移行処理の流れを示すフローチャートである。
【図１４】実施形態における残留防止処理の流れを示すフローチャートである。
【図１５】第二の実施形態における制限モード定義情報テーブルの構成を示す図である。
【図１６】第二の実施形態における条件情報テーブルの構成を示す図である。
【図１７】第二の実施形態における制限モード制御処理の流れを示すフローチャートである。
【図１８】その他の実施形態におけるソフトウェア情報テーブルの構成を示す図である。
【図１９】その他の実施形態における制限モード定義情報テーブルの構成を示す図である。
【発明を実施するための形態】
【００３１】
本発明に係る情報処理端末および管理サーバを有するユーザ端末管理システムの実施の形態について、図面に基づいて説明する。
【００３２】
＜第一の実施形態＞
図１は、本実施形態に係るユーザ端末管理システム１のハードウェア構成の概略を示す図である。ユーザ端末管理システム１は、管理サーバ１ｓと、管理サーバ１ｓにネットワーク２を介して接続された１または複数のユーザ端末１ｃとを有する。管理サーバ１ｓは、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１ｓ、ＲＡＭ（Ｒａｎ
ｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１２ｓ等の主記憶装置、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）１３ｓ等の補助記憶装置、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１４ｓ、およびＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）１５ｓ等のネットワークインターフェース等を有するコンピュータである。管理サーバ１ｓは、ネットワーク２を介して接続された管理者端末１ａによって管理されるが、ディスプレイ、キーボード、マウス等を備えてもよい。
【００３３】
また、ユーザ端末１ｃは、ＣＰＵ１１ｃ、揮発性記憶装置であり端末の再起動や終了に伴って記録された情報が失われるＲＡＭ１２ｃ、不揮発性記憶装置であり端末が再起動または終了された場合にも記録された情報が維持されるＨＤＤ１３ｃ、ＲＯＭ１４ｃ、およびＮＩＣ１５ｃ等のネットワークインターフェース等を有するコンピュータである。なお、本実施形態では、ユーザ端末１ｃは更にディスプレイ１６ｃ等の出力装置、およびキーボード１７ｃ、マウス１８ｃ等の入力装置等を有する。また、ユーザ端末１ｃのＯＳは、システムへの変更またはソフトウェアの追加を行うための権限である管理者権限の有無をユーザごとに設定可能なＯＳである。
【００３４】
図２は、本実施形態に係るユーザ端末管理システム１の機能構成の概略を示す図である。図１に示したハードウェア構成を有する管理サーバ１ｓは、ＨＤＤ１３ｓ上にインストールされたプログラムをＣＰＵ１１ｓが読み出してＲＡＭ１２ｓに展開し、展開されたプログラムをＣＰＵ１１ｓが解釈および実行することで、ソフトウェア蓄積部４６と、ソフトウェアのリストを含む制限モード定義情報を蓄積する制限モード定義情報蓄積部４４と、ユーザまたはユーザ端末１ｃの識別情報をユーザ端末１ｃより受信する識別情報受信部４２と、受信された識別情報を用いてユーザ端末１ｃまたはユーザを認証する認証部４１と、情報処理端末またはユーザに応じた制限モード定義情報を送信する制限モード定義情報送信部４３と、ユーザ端末１ｃにおいて選択された制限モード定義情報に含まれるソフトウェアをユーザ端末１ｃに送信するソフトウェア送信部４５と、を備える管理サーバ１ｓとして機能する。
【００３５】
同様に、図１に示したハードウェア構成を有するユーザ端末１ｃは、ＲＡＭ１２ｃに展開されたプログラムをＣＰＵ１１ｃが解釈および実行することで、ユーザまたはユーザ端末１ｃの識別情報を管理サーバ１ｓに送信する識別情報送信部２１と、管理サーバ１ｓから制限モード定義情報を受信する制限モード定義情報受信部２２と、ユーザによる制限モード定義情報の選択および制限モード有効化の指示を受け付ける受付部２３と、制限モード設定部２４と、次回起動時のログインユーザを、管理者権限を有さないユーザに設定する権限設定部２５と、制限モードが有効であるか否かを判定する判定部２６と、ＨＤＤ１３ｃにおける一部の領域を一時領域８２として確保する一時領域確保部２７と、選択された制限モード定義情報に含まれるソフトウェアを管理サーバ１ｓから受信するソフトウェア受信部２８と、制限モード有効時にＨＤＤ１３ｃへの書き込みデータを一時領域８２に記録する一時領域記録部２９と、一時領域８２への記録の際の変換情報を蓄積する変換情報蓄積部３０と、ソフトウェアを一時領域８２から読み出して実行するソフトウェア実行部３１と、一時領域８２を含むＨＤＤ１３ｃに記録された情報を読み出す読出部３２と、を備えるユーザ端末１ｃとして機能する。
【００３６】
ここで、サービスとは、ユーザ端末１ｃまたはサービス提供サーバにおいて実行されるソフトウェアによって提供される機能である。サービスの提供の形態としては、ユーザ端末１ｃにダウンロードされたソフトウェアがユーザ端末１ｃによって実行されることでサービスが提供される形態や、サービス提供サーバにおいて主要な処理が行われ、ユーザ端末１ｃではサーバから受信した処理結果の表示を主に担うソフトウェアが実行される形態等が用いられてよい。
【００３７】
また、一時領域８２とは、ユーザ端末１ｃの起動または終了に際してＲＡＭ１２ｃに蓄積された変換情報が失われることで初期化されるＨＤＤ１３ｃにおける一部の領域である。一時領域記録部２９は、判定部２６によって制限モードが有効であると判定された場合に、オペレーティングシステムによるＨＤＤ１３ｃへの書き込みアクセスを横取り（フック）し、一時領域８２への書き込みアクセスへ変換することで、ＨＤＤ１３ｃに書き込まれようとしているデータを一時領域８２に記録する。そして、変換情報蓄積部３０は、変換された書き込みアクセスの変換前のアドレスと変換後のアドレスとの対応関係を示す変換情報を、ＲＡＭ１２ｃに蓄積する。
【００３８】
また、制限モードとは、ユーザ端末１ｃにおいてセキュリティを確保するための機能が有効となっている状態であり、セキュリティを確保しつつ様々な作業環境を提供するために、複数種類の制限モードが提供される。
【００３９】
管理サーバ１ｓの制限モード定義情報蓄積部４４は、識別情報に係る情報処理端末に所定の作業環境を構築するためのソフトウェアの組み合わせ、または識別情報に係るユーザに所定のサービスを提供するためのソフトウェアの組み合わせを含む、制限モード定義情報を蓄積する。
【００４０】
図３Ａおよび図３Ｂは、本実施形態におけるソフトウェア情報テーブル５０Ａ、５０Ｂの構成を示す図である。ソフトウェア情報テーブル５０Ａ、５０Ｂには、ソフトウェア蓄積部４６によって蓄積されたソフトウェアを識別するためのソフトウェア識別子５１と、ソフトウェア名称５２と、管理サーバ１ｓにおけるソフトウェア本体の保存位置を示すファイルパス５３と、を含むソフトウェア情報が蓄積される。なお、本実施形態において、ソフトウェア情報テーブル５０Ａには、残留防止の対象となるソフトウェア、即ち、ユーザ端末１ｃの利用終了後に、ユーザ端末１ｃのＨＤＤ１３ｃ上に残されないソフトウェアの情報が蓄積される。これに対して、ソフトウェア情報テーブル５０Ｂには、残留防止の対象とならないソフトウェア、例えば、オペレーティングシステムの更新ファイルや、セキュリティ対策ソフトウェアの更新ファイル、ウィルス定義ファイル等、セキュリティの観点上システムに残すことが好ましいソフトウェアの情報が蓄積される。
【００４１】
また、図４は、本実施形態における認証情報テーブル６０の構成を示す図である。認証情報テーブル６０には、認証を受けるユーザまたはユーザ端末１ｃを識別するための認証識別子６１と、認証識別子６１によって認証されるユーザまたは端末の名称６２と、認証に用いられるパスワード等が含まれる認証符号６３と、を含む認証情報が蓄積される。
【００４２】
図５は、本実施形態における制限モード定義情報テーブル７０の構成を示す図である。制限モード定義情報テーブル７０には、制限モード識別子７１と、制限モード名称７２と、この制限モードで使用が許可されるソフトウェアのソフトウェア識別子５１がリストされるソフトウェアリスト７３と、この制限モードの使用が許可されるユーザまたは端末の認証識別子６１がリストされる認証リスト７４と、この制限モードの使用が許可される期限を示す制限モード有効期限７５と、を含む制限モード定義情報が蓄積される。ユーザは、提示された複数種類の制限モード定義情報から、所望の制限モード定義情報を選択することで、この定義情報に応じた作業環境の提供を受けることが出来る。
【００４３】
図６は、本実施形態における記憶領域８０の構成を示す図である。ユーザ端末１ｃのＨＤＤ１３ｃ上に確保された記憶領域８０には、制限モードフラグ８１および一時領域８２が含まれ、制限モードフラグ８１には、制限モード設定部２４によって、制限モードが有効であることを示す値（例えば、「１」）、または制限モードが無効となっていることを示す値（例えば、「０」）が書き込まれる。また、一時領域８２は、制限モードが有効となっている間に、アドレス変換によってＨＤＤ１３ｃへの書き込みアクセスがリダイレク
トされる領域である。即ち、制限モードが有効となっている間、原則としてデータは一時領域８２に記録される。
【００４４】
図７は、本実施形態におけるアドレス変換テーブル９０を示す図である。アドレス変換テーブル９０には、一時領域８２への書込み時の変換元アドレス９１と変換先アドレス９２との対応関係が蓄積される。アドレス変換テーブル９０に蓄積された情報は、一時領域８２からの情報の読み出し時に参照される。なお、本実施形態では、アドレス変換は、対応表を参照することで変換元アドレス９１に対応する変換先アドレス９２を取得することとしているが、これに代えて、変換元アドレス９１を所定の計算式を用いて変換することで、変換先アドレス９２を取得することとしてもよい。
【００４５】
図８は、本実施形態に係る制限モード定義情報を作成する処理の流れを示すフローチャートである。本フローチャートに示された処理は、管理サーバ１ｓまたは管理サーバ１ｓにログインした管理者端末１ａにおいて、管理者によって制限モード定義情報の作成開始を指示する入力が行われたことを契機として開始される。
【００４６】
ステップＳ１０１からステップＳ１０３では、制限モード定義情報を作成するにあたってユーザに選択させるための各種情報が読み出され、これらの情報が、管理サーバ１ｓまたは管理者端末１ａのディスプレイに表示される。管理サーバ１ｓは、予め準備されたソフトウェア情報をソフトウェア情報テーブル５０Ａ、５０Ｂから読み出し、認証情報を認証情報テーブル６０から読み出す。そして、管理サーバ１ｓは、読み出されたソフトウェア情報および認証情報を、管理サーバ１ｓに接続されたディスプレイ、または管理サーバ１ｓに接続された管理者端末１ａのディスプレイに表示する。
【００４７】
図９は、本実施形態においてディスプレイに表示される制限モード定義情報作成インターフェース１００のイメージを示す図である。制限モード定義情報作成インターフェース１００は、作成される制限モード定義情報に係る制限モードの名称が入力される名称入力欄１０１と、ステップＳ１０１で読み出されたソフトウェア情報が選択される選択可能ソフトウェア表示欄１０２と、選択された１または複数のソフトウェアが表示される選択済みソフトウェア表示欄１０３と、選択したいソフトウェアを選択済みソフトウェアに追加する追加ボタン１０４ａと、選択済みソフトウェアを削除する削除ボタン１０４ｄと、ステップＳ１０２で読み出された認証情報が選択される選択可能認証情報表示欄１０５と、選択された１または複数の認証情報が表示される選択済み認証情報表示欄１０６と、選択したい認証情報を選択済み認証情報に追加する追加ボタン１０７ａと、選択済み認証情報を削除する削除ボタン１０７ｄと、作成される制限モード定義情報の有効期限を入力する有効期限入力欄１０８と、入力または選択内容を確定して新規制限モード定義情報を作成する新規作成ボタン１０９と、を有する。
【００４８】
ステップＳ１０４では、制限モード定義情報を作成するにあたって必要な情報の入力および選択が受け付けられる。管理サーバ１ｓは、ディスプレイに表示された制限モード定義情報作成インターフェース１００を介して行われる入力操作および選択操作を受け付けることで、制限モードの名称、ソフトウェア、認証情報および有効期限の入力または選択を受け付ける。
【００４９】
即ち、管理者は、制限モード定義情報を作成するにあたって、ディスプレイに表示された制限モード定義情報作成インターフェース１００を見ながら、キーボード、マウス等の入力装置を用いて、制限モードの名称の入力、ソフトウェアの選択、認証情報の選択、および有効期限の入力を行う。ここで、ソフトウェアおよび認証情報は、複数選択されてもよい。本実施形態では、ドロップダウンメニューを用いて表示されたソフトウェアまたは認証情報が、追加ボタン１０４ａ、１０７ａの押下によって選択状態となる。選択状態に
ある選択済みソフトウェア／認証情報は、選択済みソフトウェア／認証情報表示欄１０３、１０６に表示され、新規作成ボタン１０９の押下によって確定される。その後、処理はステップＳ１０５へ進む。
【００５０】
ステップＳ１０５では、制限モード定義情報が作成される。管理サーバ１ｓは、ステップＳ１０４で入力または選択された情報を、制限モード名称７２、ソフトウェアリスト７３、認証リスト７４および制限モード有効期限７５として含む制限モード定義情報を作成し、制限モード定義情報テーブル７０に蓄積する。この際、管理サーバ１ｓは、制限モード定義情報を識別するための一意の識別子を生成し、制限モード識別子７１として制限モード定義情報に保持させる。識別子は、例えば、作成日時等を含む識別子とすることが出来る。その後、本フローチャートに示された処理は終了する。
【００５１】
即ち、本フローチャートに示された処理によれば、管理者は、ユーザに提供したい作業環境および適用したいセキュリティに応じた制限モードを、簡易に作成することが出来る。なお、ここで制限モード定義情報の生成が成功した場合に、制限モード定義情報が正常に作成された旨をユーザに伝えるためのメッセージが表示されることとしてもよい。また、管理者は、制限モード定義情報を複数作成することが出来る。異なるソフトウェア識別子５１と認証識別子６１との組み合わせによる制限モード定義情報を生成しておくことで、ソフトウェアの選択および該ソフトウェアを利用できるユーザの限定を、制限モードを選択させるのみで行うことが出来る。
【００５２】
例えば、ファイルサーバへアクセスするためのソフトウェアと、アクセスを許可したいユーザを制限モード定義情報に設定しておくことで、限定されたユーザ間でのデータ共有が可能となる。
【００５３】
図１０Ａおよび図１０Ｂは、本実施形態における制限モード制御処理の流れを示すフローチャートである。本フローチャートに示された処理は、システムの起動に伴って開始される。なお、本フローチャートに示された処理では、制限モードフラグ８１が操作され、制限モードフラグ８１の状態に基づいて処理の流れが決定される。はじめに、起動時において制限モードフラグ８１が有効でない（または、無効である）場合の処理の流れについて説明する。なお、本実施形態では、ＯＳ等のシステムプログラムはＨＤＤ１３ｃより読み出されることとしているが、システムプログラムの少なくとも一部をＲＯＭ、ＤＶＤ等の書換不可能な記憶装置に記録しておき、システム起動時に毎回展開させることで、プログラムの改変を抑止してもよい。
【００５４】
ステップＳ２０１およびステップＳ２０２では、システムの起動処理および制限モードフラグ８１の判定が行われる。判定部２６は、システムの起動後、ＨＤＤ１３ｃに保存された制限モードフラグ８１を参照し、制限モードフラグ８１が制限モード有効を示す値に設定されているか否かを判定する。制限モードフラグ８１が制限モード有効を示す値に設定されていると判定された場合、処理はステップＳ２２１へ進み（図１０Ｂを参照）、以降、制限モードフラグ８１が無効に設定されるまで、システムは制限モードで動作する。制限モードフラグ８１が制限モード有効を示す値に設定されていない（または、無効を示す値に設定されている）と判定された場合、処理はステップＳ２０３へ進み、以降、制限モードフラグ８１が有効に設定されるまで、システムは非制限モードで動作する。
【００５５】
ステップＳ２０３およびステップＳ２０４では、認証情報に基づいた認証処理が行われる。ユーザ端末１ｃは、ユーザ端末１ｃのディスプレイ１６ｃに認証インターフェース（図示は省略する）を表示し、識別情報送信部２１は、このインターフェースを介してユーザによって入力された認証情報（例えば、ユーザ名称とパスワード等）を、管理サーバ１ｓへ送信する（ステップＳ２０３）。管理サーバ１ｓの識別情報受信部４２は、送信され
た認証情報を、ネットワーク２を介して受信し、認証部４１は、受信された認証情報と予め認証情報テーブル６０に保持されている認証情報とを比較することで、ユーザ端末１ｃまたはユーザ端末１ｃを使用しているユーザを認証する（ステップＳ２０４）。
【００５６】
より具体的には、管理サーバ１ｓの認証部４１が、受信された認証情報に含まれるユーザまたは端末の名称６２または認証識別子６１を検索キーとして認証情報テーブル６０を検索し、抽出された認証情報の認証符号６３と受信された認証情報に含まれるパスワード等を比較することで、認証が行われる。なお、本実施形態では、ユーザによって入力された認証情報を送信することとしているが、これに代えて、予め設定された認証情報が、ユーザ端末１ｃの起動時に自動的に送信されることとしてもよい。その後、処理はステップＳ２０５へ進む。なお、認証処理は、ワンタイムパスワードや、秘密鍵と公開鍵を用いた認証処理等、実施の形態に応じて採用された認証プロトコルを用いた認証処理であってよい。
【００５７】
ステップＳ２０５からステップＳ２０７では、制限モード定義情報の送受信が行われる。管理サーバ１ｓの制限モード定義情報送信部４３は、ステップＳ２０４で認証されたユーザまたはユーザ端末１ｃの認証識別子６１を検索キーとして制限モード定義情報テーブル７０を検索することで、認証に係る制限モード定義情報を抽出する（ステップＳ２０５）。ここで、制限モード定義情報送信部４３は、管理サーバ１ｓの内蔵時計（図示は省略する）に基づく日時情報と、制限モード定義情報に含まれる有効期限７５とを比較し、有効期限を超過している（期限切れの）制限モード定義情報は、抽出の結果に含ませない。そして、制限モード定義情報送信部４３は、抽出された制限モード定義情報をユーザ端末１ｃへ送信し（ステップＳ２０６）、ユーザ端末１ｃの制限モード定義情報受信部２２は、ネットワーク２を介して制限モード定義情報を受信する（ステップＳ２０７）。その後、処理はステップＳ２０８へ進む。
【００５８】
ステップＳ２０８では、ステップＳ２０７で受信された制限モード定義情報が複数あるか否かが判定される。複数の制限モード定義情報が受信されたと判定された場合、処理はステップＳ２０９へ進む。受信された制限モード定義情報が複数ではない（単一である）と判定された場合、処理はステップＳ２１０へ進む。
【００５９】
ステップＳ２０９では、受信された制限モード定義情報が複数ある場合に、ユーザによる選択が受け付けられる。受付部２３は、受信された複数の制限モード定義情報に基づいて、複数の制限モード定義情報のうち、このユーザ端末１ｃに提供する制限モード定義情報をユーザに選択させるための制限モード定義情報選択インターフェース１１０をディスプレイ１６ｃに表示する。
【００６０】
図１１は、本実施形態においてディスプレイ１６ｃに表示される制限モード定義情報選択インターフェース１１０のイメージを示す図である。制限モード定義情報選択インターフェース１１０は、ユーザに対する制限モードについての説明を含むメッセージ表示欄１１１と、制限モード名称７２および有効期限７５が表示される制限モード選択ボタン１１２と、を有する。マウス１８ｃ等の入力装置を用いてユーザは制限モード選択ボタン１１２をクリックすることで、所望の制限モードを選択することが出来る。受付部２３は、制限モード定義情報インターフェースを介して、ユーザによる制限モード定義情報の選択を受け付ける。その後、処理はステップＳ２１０へ進む。
【００６１】
ステップＳ２１０では、ソフトウェア識別子５１が送信される。ユーザ端末１ｃのソフトウェア受信部２８は、制限モード定義情報のソフトウェアリスト７３に含まれるソフトウェアのうち、残留防止の対象とならないソフトウェア、即ち、制限モードが有効であるか否かに拘らずユーザ端末１ｃのＨＤＤ１３ｃ上に残されるべきソフトウェアの識別子を
送信する。ここで、残留防止とは、データを一時領域８２へ記録することで、端末へのデータの残留を防止することをいう。残留防止の対象とならないソフトウェアとは、例えば、オペレーティングシステムの更新ファイルや、セキュリティ対策ソフトウェアの更新ファイル、ウィルス定義ファイル等、セキュリティの観点上システムに残すことが好ましいソフトウェアである。これらの残留防止の対象とならないソフトウェアを識別する方法としては、本実施形態における、残留防止の対象とならないソフトウェアの情報が蓄積されるソフトウェア情報テーブル５０Ｂを用いる方法の他に、予めユーザ端末１ｃにおいて設定しておく方法や、管理サーバ１ｓに保持されるソフトウェア情報や制限モード定義情報に残留防止の対象とするか否かを判別するためのフラグを含ませる方法等が採用されてよい。その後、処理はステップＳ２１１へ進む。
【００６２】
ステップＳ２１１およびステップＳ２１２では、管理サーバ１ｓによってソフトウェア識別子５１が受信され、ソフトウェア本体が送信される。管理サーバ１ｓのソフトウェア送信部４５は、ユーザ端末１ｃより送信されたソフトウェア識別子５１を受信し（ステップＳ２１１）、受信されたソフトウェア識別子５１を検索キーとしてソフトウェア情報テーブル５０Ｂを検索することで、ユーザ端末１ｃより要求されたソフトウェアの本体が保存されている場所（ここでは、管理サーバ１ｓにおけるファイルパス５３）を取得する。そして、ソフトウェア蓄積部４６によって蓄積されているソフトウェア本体を読み出し、ユーザ端末１ｃへ送信する（ステップＳ２１２）。その後、処理はステップＳ２１３へ進む。
【００６３】
ステップＳ２１３では、ソフトウェア本体が受信される。ユーザ端末１ｃのソフトウェア受信部２８は、管理サーバ１ｓから送信されたソフトウェアを受信し、ＨＤＤ１３ｃに保存する。なお、ここで受信されたソフトウェアが保存されるＨＤＤ１３ｃ上の領域は、残留防止のために用いられる一時領域８２ではない。その後、処理はステップＳ２１４へ進む。
【００６４】
ステップＳ２１４およびステップＳ２１５では、制限モードフラグ８１が設定され、制限モード定義情報が保存される。制限モード設定部２４は、ＨＤＤ１３ｃ上の制限モードフラグ８１に、制限モードが有効であることを示す値を設定し（ステップＳ２１４）、ＨＤＤ１３ｃに、ステップＳ２０９で選択された制限モード定義情報（ステップＳ２０７で受信された制限モード定義情報が１つであった場合には、その制限モード定義情報）を保存する（ステップＳ２１５）。即ち、これらのステップでは、ユーザ端末１ｃの再起動後に用いる情報が、不揮発性記憶装置であるＨＤＤ１３ｃに記録される。これによって、ユーザ端末１ｃの再起動後も制限モードが継続され、また、再起動後に参照される制限モード定義情報が維持される。その後、処理はステップＳ２１６へ進む。
【００６５】
ステップＳ２１６およびステップＳ２１７では、ユーザ端末１ｃのオペレーティングシステムにおけるユーザ権限が変更され、ユーザ端末１ｃが再起動される。権限設定部２５は、次回起動時のユーザが、ユーザ端末１ｃへのソフトウェアのインストールやシステムへの変更を行う権限を有さないユーザ（以降、「制限ユーザ」と称する）となるように、オペレーティングシステムの設定を強制的に変更する（ステップＳ２１６）。より具体的には、権限設定部２５は、ユーザ端末１ｃのオペレーティングシステム起動用設定ファイル（レジストリ等）内のオペレーティングシステム起動時ログインユーザを、管理者権限を持たない制限ユーザへ強制的に書き換える。その後、システムの再起動が開始され（ステップＳ２１７）、本フローチャートに示された処理は終了する。
【００６６】
システムが再起動すると、再びステップＳ２０１からの処理が実行される。再起動したシステムは、制限ユーザで動作する。また、制限モードフラグ８１はステップＳ２１４で制限モードに設定されているため、ステップＳ２０２における判定処理では、制限モード
フラグ８１が制限モード有効を示す値に設定されていると判定される。
【００６７】
次に、図１０Ｂを参照して、ステップＳ２０２で制限モードフラグ８１が制限モード有効を示す値に設定されていると判定された場合の以降の処理の流れ、即ちシステムが制限モードで動作する場合の処理の流れを説明する。
【００６８】
ステップＳ２２１では、残留防止機能が有効化される。ユーザ端末１ｃの一時領域確保部２７は、ステップＳ２０２で制限モードフラグ８１が有効であると判断されたことを受けて、ＲＡＭ１２ｃ上の残留防止機能フラグに残留防止機能が有効であることを示す値を設定し、一時領域８２の確保および初期化を行うことで、残留防止機能を有効化する。残留防止機能フラグは、後述する残留防止処理において参照されることで、残留防止機能が有効であるか無効であるかを判定するための基準となる。また、一時領域８２は、一時領域８２のアドレスの書き込みアドレスを示すポインタを一時領域８２（図６を参照）の先頭アドレスとすることで初期化される。その後、処理はステップＳ２２２へ進む。
【００６９】
ステップＳ２２２では、ソフトウェア識別子５１が送信される。ユーザ端末１ｃのソフトウェア受信部２８は、ステップＳ２１５でＨＤＤ１３ｃに保存された制限モード定義情報のソフトウェアリスト７３に含まれるソフトウェアのうち、残留防止の対象となるソフトウェア、即ち、ユーザ端末１ｃの利用終了後に、ユーザ端末１ｃのＨＤＤ１３ｃ上に残されないソフトウェアの識別子を送信する。残留防止の対象となるソフトウェアを識別する方法としては、本実施形態における、残留防止の対象となるソフトウェアの情報が蓄積されるソフトウェア情報テーブル５０Ａを用いる方法の他に、予めユーザ端末１ｃにおいて設定しておく方法や、管理サーバ１ｓに保持されるソフトウェア情報や制限モード定義情報に残留防止の対象とするか否かを判別するためのフラグを含ませる方法等が採用されてよい。その後、処理はステップＳ２２３へ進む。
【００７０】
ステップＳ２２３およびステップＳ２２４では、管理サーバ１ｓによってソフトウェア識別子５１が受信され、ソフトウェア本体が送信される。処理の詳細はステップＳ２１１およびステップＳ２１２と概略同様であるため、説明を省略する。その後、処理はステップＳ２２５へ進む。
【００７１】
ステップＳ２２５では、ソフトウェア本体が受信される。ユーザ端末１ｃのソフトウェア受信部２８は、管理サーバ１ｓから送信されたソフトウェア本体を受信し、ステップＳ２２１で初期化された一時領域８２に保存する。即ち、ここで受信されたソフトウェア本体は、ユーザ端末１ｃの使用終了時または再起動時に、ユーザ端末１ｃから失われる。その後、処理はステップＳ２２６へ進む。
【００７２】
ステップＳ２２６およびステップＳ２２７では、ソフトウェアが起動され、制限モード離脱インターフェース１２０が表示される。ユーザ端末１ｃのソフトウェア実行部３１は、ステップＳ２１３およびステップＳ２２５で受信しＨＤＤ１３ｃに記録したソフトウェア本体を、ＲＡＭ１２ｃに読み出し、ＣＰＵ１１ｃに実行させることでソフトウェアを起動する（ステップＳ２２６）。即ち、この時点で、ソフトウェアの機能が情報処理端末を使用するユーザに提供され、ユーザはユーザ端末１ｃにおいて動作する各種ソフトウェアを用いて作業を行うことが可能となる。そして、ユーザ端末１ｃは、ユーザが制限モードでの作業を終了する際の終了操作を受け付けるための制限モード離脱インターフェース１２０をディスプレイ１６ｃに表示する（ステップＳ２２７）。その後、本フローチャートに示された処理は終了する。なお、制限モード離脱インターフェース１２０を起動するためのソフトウェアは、ソフトウェア情報テーブル５０Ａに登録され、ステップＳ２２５で受信されるソフトウェアであってもよい（以下、制限モード離脱インターフェース１２０を表示させるためのソフトウェアを「離脱インターフェース提供ソフトウェア」と称する
）。この場合、制限モード離脱インターフェース１２０は、ステップＳ２２６のソフトウェア起動処理において表示されるため、ステップＳ２２７の処理は不要となる。また、この場合、離脱インターフェース提供ソフトウェアは一時領域８２に記録され、ユーザ端末１ｃに残らない。このため、離脱インターフェース提供ソフトウェアを制限モード定義情報テーブル７０に登録するタイミングを調整することで、管理者は、制限モードから離脱可能な時期をコントロールすることが出来る。より具体的には、管理者は、ユーザ端末を常に制限モードで動作させたい時期には制限モード定義情報テーブル７０に離脱インターフェース提供ソフトウェアを登録しないことで、ユーザの故意または過失による不要な制限モード離脱や環境変更等を防止することが出来る。
【００７３】
図１２は、本実施形態においてディスプレイ１６ｃに表示される制限モード離脱インターフェース１２０のイメージを示す図である。制限モード離脱インターフェース１２０は、現在ユーザ端末１ｃのシステムが制限モードで動作していることを通知するメッセージ１２１と、非制限モードへ復帰する（制限モードを離脱する）ことを指示するための復帰ボタン１２２と、を有する。ユーザは、ユーザ端末１ｃに備えられたポインティングデバイス等の入力装置を操作して、復帰ボタン１２２をクリックすることで、制限モードでの作業を終了し、非制限モードへ移行することの指示を行う。
【００７４】
ステップＳ２２６におけるソフトウェアの起動以降、ユーザによる復帰ボタン１２２のクリックが検知されるまで、ユーザ端末１ｃは制限モード下で動作し、ユーザは、ユーザ端末１ｃにおいて起動された各種ソフトウェアを用いて作業を行うことが可能である。そして、本実施形態によれば、ユーザ端末１ｃのＯＳが制限ユーザで動作し、且つ残留防止機能が動作していることによって、ユーザによるソフトウェアのインストールやシステムへの変更が制限され、更に、作成または変更したデータが再起動後にＨＤＤ１３ｃに残留することが制限される。
【００７５】
図１３は、本実施形態における非制限モード移行処理の流れを示すフローチャートである。本フローチャートに示された処理は、ユーザによる非制限モードへの移行指示が検知されたことを契機として開始される。ユーザ端末１ｃは、上記制限モード離脱インターフェース１２０を介したユーザ操作に基づく非制限モードへの移行指示を受け付け（ステップＳ３０１）、ＨＤＤ１３ｃ上の制限モードフラグ８１に、制限モードが無効であることを示す値を設定する（ステップＳ３０２）。なお、制限モードフラグ８１への書き込みについては、残留防止機能によるアドレス変換が行われない。具体的には、後述する残留防止処理において、一時領域記録部２９は、書き込みアドレスが制限モードフラグ８１を示すアドレスである場合のみ、アドレス変換を行わずにＨＤＤ１３ｃへ書き込む。このようにすることで、残留防止機能が有効となっている状態でも、制限モードからの離脱を行うことを可能としている。
【００７６】
その後、ユーザ端末１ｃは再起動し（ステップＳ３０３）、上記ステップＳ２０１からの処理が実行される。このとき、ステップＳ２０２において制限モードフラグ８１が有効を示す値に設定されていないと判定されるため、処理はステップＳ２０３へ進み、以降、制限モードフラグ８１が有効に設定されるまで、システムは非制限モードで動作する。
【００７７】
なお、制限モードでは、ユーザが管理者権限を有さないユーザに変更されているが（ステップＳ２１６を参照）、ユーザ設定は、制限モード離脱後の再起動後に、ユーザ操作によって、または自動的に、変更前のユーザに戻されることとしてもよい。
【００７８】
図１４は、本実施形態における残留防止処理の流れを示すフローチャートである。本フローチャートに示された処理は、ＯＳによる、ＨＤＤ１３ｃからの読出アクセス、またはＨＤＤ１３ｃへの書込アクセスが発生したことを契機として開始される。
【００７９】
ステップＳ４０１およびステップＳ４０２では、ＯＳによるＨＤＤアクセスが横取りされ（フックされ）、残留防止機能フラグが有効に設定されているか否かが判定される。ユーザ端末１ｃの一時領域記録部２９は、ＯＳによるＨＤＤアクセスが発生すると、このアクセスを横取りし、ＲＡＭ１２ｃ上の残留防止機能フラグを参照する。ここで、残留防止機能フラグに残留防止機能が有効であることを示す値が設定されている場合、処理はステップＳ４０４へ進む。残留防止機能フラグに残留防止機能が有効であることを示す値が設定されていない場合、処理はステップＳ４０３へ進む。
【００８０】
ステップＳ４０３では、ＨＤＤ１３ｃへのアクセスが行われる。残留防止機能が有効でないため、一時領域記録部２９は、ＨＤＤ１３ｃへの通常の読出または書込アクセスを許可する。ここで読出または書込が行われるＨＤＤ１３ｃ上の領域は、一時領域８２以外の領域である。例えば、上述したステップＳ２１３において受信されたソフトウェア本体（オペレーティングシステムの更新ファイルや、セキュリティ対策ソフトウェアの更新ファイル、ウィルス定義ファイル等）のＨＤＤ１３ｃへの書込み処理は、残留防止機能が有効でない状態で行われるため、本ステップの処理に従って行われる。本ステップでＨＤＤ１３ｃに書込みされたデータは、制限モードの終了処理やユーザ端末１ｃの再起動によっても失われないため、システムの更新ファイル等、制限モードの有効無効に拘らず失われないことが好ましいデータは、残留防止機能フラグが有効となっていない状態でＨＤＤ１３ｃに書込みされることが好ましい。その後、本フローチャートに示された処理は終了する。
【００８１】
ステップＳ４０４では、アクセスの種類が判定される。一時領域記録部２９は、残留防止機能フラグが有効である場合、横取りされたアクセスの種類が書込みアクセスであるか否かを判定する。アクセスの種類が書込みアクセスである場合、処理はステップＳ４０５へ進む。アクセスの種類が書込みアクセスでない場合、処理はステップＳ４０７へ進む。
【００８２】
ステップＳ４０５およびステップＳ４０６では、一時領域８２への書込みが行われ、アドレス変換テーブル９０が更新される。一時領域記録部２９は、ＨＤＤ１３ｃ上に確保された一時領域８２のうち、書込アドレスポインタが示す書込みアドレスに、横取りされた書込アクセスに係るデータを記録する（ステップＳ４０５）。そして、変換情報蓄積部３０は、横取りされた書込みアクセスにおいてＯＳが示していた書込み先アドレス（変換元アドレス９１）と、実際にデータが書き込みされたアドレス（変換先アドレス９２）と、を関連付けてＲＡＭ１２ｃ上のアドレス変換テーブル９０に蓄積する（ステップＳ４０６）。ここで、変換先アドレス９２は、一時領域８２への書込み時に、書込アドレスポインタが示していたアドレスである。更に、一時領域記録部２９は、書き込みされたデータのサイズに従って、書込アドレスポインタを更新する。その後、本フローチャートに示された処理は終了する。
【００８３】
ステップＳ４０７からステップＳ４０９に示された処理は、残留防止機能が有効である場合の、ＨＤＤ１３ｃからの読出アクセス処理である。読出部３２は、オペレーティングシステムより横取りされた読出アクセスの読出アドレスに基づいてアドレス変換テーブル９０を検索することで、この読出しアドレスが、アドレス変換テーブル９０の変換元アドレス９１として登録されているか否か、即ち、オペレーティングシステムから要求されたデータが、一時領域８２に記録されているか否かを判定する（ステップＳ４０７）。ＯＳの示すアドレスがアドレス変換テーブル９０から抽出された場合、処理はステップＳ４０８へ進む。ＯＳの示すアドレスがアドレス変換テーブル９０から抽出されない場合、処理はステップＳ４０９へ進む。
【００８４】
ステップＳ４０８では、データが一時領域８２から読み出される。読出部３２は、ＯＳ
より要求されたデータを、ステップＳ４０７で抽出された変換先アドレス９２にアクセスすることで読み出す。即ち、本フローチャートに示す処理によれば、データの書込みおよび読出しが一時領域８２に対して行われていることをＯＳに意識させることなく、一時領域８２に対するデータの書込みおよび読出しを行うことができる。その後、本フローチャートに示された処理は終了する。
【００８５】
ステップＳ４０９では、データがＨＤＤ１３ｃから読み出される。読出部３２は、ＯＳより要求されたデータを、ＯＳより指示された読出アドレスにアクセスすることで読み出す。本ステップに係る読出し処理が行われるのは、制限モード下で記録されたデータを除くデータの読出し要求が行われた際である。その後、本フローチャートに示された処理は終了する。
【００８６】
ＯＳのＨＤＤ書込アクセスにおける書込先を一時領域８２に変換するためのアドレス変換テーブル９０は、ＲＡＭ１２ｃ上に確保されているため、再起動によって失われる。即ち、制限モード中にＨＤＤ１３ｃに書き込まれた情報は、再起動後に、記録位置（アドレス）が失われることによって、アクセス困難となる。このため、制限モード下で万一ウィルスに感染する、不適切なソフトウェアがインストールされる等の事態が発生した場合であっても、再起動後にＯＳはこれらのソフトウェアにアクセスすることが出来ず、システムは安全な状態に保たれる。更に、一時領域８２の書き込みアドレスを示すポインタが一時領域８２の先頭に初期化されることで（ステップＳ２２１）、既に一時領域８２に書き込まれた情報は、以降の一時領域８２への書き込みで上書きされ、ＨＤＤ１３ｃから書き込まれた情報自体を消すことができる。
【００８７】
なお、ＯＳのファイル管理テーブルを参照せずにＨＤＤ１３ｃ上の情報を直接参照する等の方法で制限モード下において書き込まれた情報が取得されてしまうことを防止するために、制限モード下でＨＤＤ１３ｃに書き込まれる情報を暗号化する方法や、制限モード下でＨＤＤ１３ｃに書き込まれた情報をランダムな情報で上書きする方法等が採られてもよい。
【００８８】
より具体的には、一時領域８２へ書き込まれる情報を暗号化し、一時領域８２から読み出される情報を復号する暗号処理部（図示は省略する）を介することで、鍵情報が設定された暗号処理部を介さずにＨＤＤ１３ｃ上の情報を直接参照する方法では情報の内容を知ることが出来ないようにすることが可能である。このとき、暗号化に用いられる暗号鍵は、ユーザによって管理されてもよいし、制限モードに移行するごとに自動生成され、制限モード終了時に破棄されることとしてもよい。制限モード移行ごとに自動生成して制限モード終了時に破棄する方法によれば、ユーザは暗号鍵の管理を意識する必要が無く、制限モード離脱時には制限モード下で一時領域８２に書き込まれた情報の取得を非常に困難にすることが可能である。
【００８９】
本実施形態にかかる情報処理端末および管理サーバ１ｓによれば、ＯＳに対して機能制限を行い、プログラムおよびデータを囲い込む一時領域８２を用いることで、高いセキュリティを実現し、更に、仮想マシン手法やシンクライアント手法に比べて仮想化やＯＳのダウンロード等に伴うリソース消費を抑制することで、高いセキュリティと高速なオーバーヘッドとを両立させることが可能である。より具体的には、本実施形態によれば、管理者が用意すべきイメージは、管理サーバ１ｓに蓄積されるソフトウェアのイメージのみである。このため、本実施形態に係るシステムは、ソフトウェアのイメージに加えてＯＳのイメージを用意する必要がある仮想マシン手法やシンクライアント手法に比べて、記憶領域や帯域等のリソース面、ＯＳの設定に必要な負荷の面で有利である。また、仮想マシン処理を介さないため、仮想マシン手法に比べて処理も軽く、快適な作業環境を用意に構築することが可能である。特に、一時領域８２は断片化されていない連続的記憶領域である
ため、本実施形態の制限モードは、断片化されたＨＤＤにアクセスする一般の環境に比べても、全体として高速に動作する。
【００９０】
＜第二の実施形態＞
上記した第一の実施形態では、離脱インターフェース１２０を起動するための離脱インターフェース提供ソフトウェアを、ソフトウェア情報テーブル５０Ａに登録されることで一時領域８２に記録されて実行されるソフトウェアの一つとし、離脱インターフェース提供ソフトウェア制限モード定義情報テーブル７０に登録するタイミングを調整することで、制限モードから離脱可能な時期を管理者が制御することが説明されている。ここで、第二の実施形態では、ユーザの故意や過失による、好ましくない制限モード離脱や環境変更等を防止するために、離脱インターフェース提供ソフトウェアの提供時期をより詳細に制御する場合の実施の形態について説明する。なお、本実施形態に係るユーザ端末管理システムの構成は、第一の実施形態において説明したユーザ端末管理システムと概略同様であるため、以下では、主として第一の実施形態と異なる部分についてのみ説明し、第一の実施形態と同様の構成については、同一の符号を用いて説明する。
【００９１】
図１５は、第二の実施形態における制限モード定義情報テーブル１７０の構成を示す図である。制限モード定義情報テーブル１７０に蓄積される制限モード定義情報には、第一の実施形態において用いられる制限モード定義情報が含む制限モード識別子７１、制限モード名称７２、ソフトウェアリスト７３、認証リスト７４、および制限モード有効期限７５に加えて、ソフトウェア条件リスト７６が含まれる。ソフトウェア条件リスト７６は、ソフトウェアリスト７３に挙げられたソフトウェアの配信条件を定める条件情報の識別子（以下、条件識別子１５４と称する）が１または複数設定されたリストである。ユーザは、提示された複数種類の制限モード定義情報から、所望の制限モード定義情報を選択することで、この定義情報に応じた作業環境の提供を受けることが出来る。
【００９２】
図１６は、第二の実施形態における条件情報テーブル１５０の構成を示す図である。条件情報テーブル１５０には、条件識別子１５４と、具体的な条件を定義する条件１５５と、を含む条件情報が蓄積される。管理サーバ１ｓは、制限モードまたは配信対象のソフトウェアに対して条件が設定されている場合、条件識別子１５４を用いて条件情報を特定し、現在の状態がこの条件１５５に合致するか否かを判定することで、ソフトウェアの配信可否等を判断する。
【００９３】
条件１５５に設定される具体的な内容は、特に制限されない。例えば、配信可能期間の他にも、ユーザ端末１ｃを特定する特定情報、配信可能なユーザ端末のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレス、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス、ユーザ端末１ｃの位置情報、等を条件１５５に設定することが出来る。図１６に示された例では、ｃｏｎｄｉｔｉｏｎ１には、現在時刻が２００７年５月２日２３時００分より後であり且つ２００７年５月３日２３時００分より前であることが条件として設定されており、ｃｏｎｄｉｔｉｏｎ２には、ユーザ端末のＭＡＣアドレスが、ＡＡ−ＢＢ−ＣＣ−ＤＤ−ＥＥ−００より後であり且つＡＡ−ＢＢ−ＣＣ−ＤＤ−ＥＥ−ＦＦより前であることが条件式の形式で設定されている。また、条件１５５には、複数の異なる種類の条件式と共に、条件式同士のＡＮＤ（論理積）やＯＲ（論理和）を設定することとしてもよい。複数種類の情報をＡＮＤやＯＲで組み合わせて判断することで、より複雑な条件１５５を設定することが可能である。
【００９４】
本実施形態においても、制限モード定義情報は、第一の実施形態の説明において、図８のフローチャートを示して説明した処理と同様の処理で作成される。但し、本実施形態では、図８に示したステップＳ１０４に相当する処理において、管理サーバ１ｓは、制限モードの名称、ソフトウェア、認証情報および有効期限に加えて、ソフトウェア配信条件の
入力または選択を受け付ける。ソフトウェア配信条件が新たに入力されると、管理サーバ１ｓは、入力された内容に従った条件情報を生成して条件識別子１５４を設定して条件情報テーブルに蓄積する。また、管理者は、条件識別子１５４や条件情報の名称等を選択することで、既に条件情報テーブルに蓄積されている条件情報から、適切な条件情報を選択することが出来る。
【００９５】
管理サーバ１ｓは、入力または選択された情報を、制限モード名称７２、ソフトウェアリスト７３、ソフトウェア条件リスト７６、認証リスト７４および制限モード有効期限７５として含む制限モード定義情報を作成し、制限モード定義情報テーブル１７０に蓄積する。
【００９６】
次に、本実施形態における、制限モード制御処理の流れを説明する。ユーザ端末１ｃの起動から、制限モードフラグ８１が有効でない場合に、制限モードフラグ８１が有効化されて再起動するまでの処理（ステップＳ２０１からステップＳ２１７までの処理）、および再起動から、残留防止機能が有効化されるまでの処理（ステップＳ２０１、Ｓ２０２、およびＳ２２１）の流れは、図１０Ａおよび図１０Ｂを用いて説明した第一の実施形態と概略同様であるため、説明を省略する。
【００９７】
図１７は、第二の実施形態における制限モード制御処理の流れを示すフローチャートである。なお、上述の通り、制限モード制御処理のうち、ユーザ端末１ｃの起動から制限モードフラグ８１が有効化されて再起動するまでの処理の流れについては、図１０Ａに示したものと概略同様であるため、図示を省略する。図１７には、制限モード制御処理のうち、図１０Ａに示した端子Ｂ以降の処理の流れを示す。
【００９８】
ステップＳ２２２ｂでは、ユーザ端末１ｃによって制限モード識別子７１が送信される。ユーザ端末１ｃのソフトウェア受信部２８は、ＨＤＤ１３ｃに保存された制限モード定義情報の制限モード識別子７１を、管理サーバ１ｓに対して送信する。その後、処理はステップＳ２２３ｂへ進む。
【００９９】
ステップＳ２２３ｂおよびステップＳ２２４ｂでは、管理サーバ１ｓによって制限モード識別子７１が受信され、ソフトウェア本体の送信可否が判断される。管理サーバ１ｓのソフトウェア送信部４５は、ユーザ端末１ｃより送信された制限モード識別子７１を受信し（ステップＳ２２３ｂ）、受信された制限モード識別子７１を検索キーとして制限モード定義情報テーブル１７０を検索することで、ユーザ端末１ｃより要求された制限モードで配信されるソフトウェアリスト７３を取得する。更に、ソフトウェア送信部４５は、受信された制限モード識別子７１を検索キーとして制限モード定義情報テーブル１７０を検索することで、制限モードで配信されるソフトウェアの配信条件であるソフトウェア条件リスト７６を取得する。そして、取得されたソフトウェア条件リスト７６に挙げられている条件識別子１５４に基づいて条件情報テーブル１５０を検索することで、条件を取得し、現在の状態が取得された条件を満たすか否かを判定する（ステップＳ２２４ｂ）。即ち、本実施形態では、ユーザ端末１ｃより要求されたソフトウェアを、このユーザ端末１ｃへ送信することの可否が判断される。
【０１００】
図１５および図１６に示した例によれば、管理サーバ１ｓは、制限モード識別子７１としてｉｎｓｔａｎｃｅ１を受信すると、対応するソフトウェアリスト７３、およびソフトウェア条件リスト７６を取得する。このソフトウェア条件リスト７６には、離脱インターフェース提供ソフトウェア（ｓｅｒｖｉｃｅ６）の送信可否を判断するための条件情報の識別子１５４であるｃｏｎｄｉｔｉｏｎ１が含まれている（図１５を参照）。このため、ソフトウェア送信部４５は、識別子１５４がｃｏｎｄｉｔｉｏｎ１である条件情報を参照し（図１６を参照）、現在時刻が２００７年５月２日２３時００分より後であり且つ２０
０７年５月３日２３時００分より前であるか否かを判定する。条件判断によって、ソフトウェアの送信が可であると判断された場合、処理はステップＳ２２４ｃへ進む。ソフトウェアの送信が不可であると判断された場合、処理はステップＳ２２４ｄへ進む。
【０１０１】
ステップＳ２２４ｄでは、ユーザ端末１ｃより要求されたソフトウェアの全てについて送信可否が判断され、送信可であるソフトウェアの送信が全て完了したか否かが判断される。全ての送信可ソフトウェアの送信が完了したと判断された場合、本フローチャートに示された処理は終了する。送信可否が未だ判断されていないソフトウェアがあり、送信可であるソフトウェアの送信が全て完了していない場合、処理はステップＳ２２４ｂへ進む。即ち、ステップＳ２２４ｂからステップＳ２２４ｄに示された処理は、全ての送信可ソフトウェアの送信が完了するまで繰り返し実行される。
【０１０２】
ステップＳ２２４ｃでは、管理サーバ１ｓによってソフトウェア本体が送信される。管理サーバ１ｓのソフトウェア送信部４５は、ステップＳ２２４ｂで送信可と判断されたソフトウェアのソフトウェア識別子５１を検索キーとしてソフトウェア情報テーブル５０Ａを検索することで、送信対象のソフトウェアの本体が保存されている場所を取得する。そして、ソフトウェア蓄積部４６によって蓄積されているソフトウェア本体を読み出し、ユーザ端末１ｃへ送信する。その後、処理はステップＳ２２５へ進む。
【０１０３】
ステップＳ２２５およびステップＳ２２６では、ソフトウェア本体が受信され、起動される。ユーザ端末１ｃのソフトウェア受信部２８は、管理サーバ１ｓから送信されたソフトウェア本体を受信し、ステップＳ２２１で初期化された一時領域８２に保存する（ステップＳ２２５）。そして、ユーザ端末１ｃのソフトウェア実行部３１は、ステップＳ２１３およびステップＳ２２５で受信しＨＤＤ１３ｃに記録したソフトウェア本体を、ＲＡＭ１２ｃに読み出し、ＣＰＵ１１ｃに実行させることでソフトウェアを起動する（ステップＳ２２６）。その後、本フローチャートに示された処理は終了する。
【０１０４】
なお、本実施形態では、離脱インターフェース提供ソフトウェアは、ソフトウェア情報テーブル５０Ａに登録され、ステップＳ２２５で受信されるソフトウェアであるため、制限モード離脱インターフェース１２０は、ステップＳ２２６のソフトウェア起動処理において表示される。このため、本実施形態では、第一の実施形態で説明したステップＳ２２７の処理は不要である。
【０１０５】
本実施形態に示したユーザ端末管理システムによれば、柔軟な条件設定により、ユーザ端末１ｃの制限モードからの離脱可否を制御することが可能となり、更には、ユーザの故意や過失による、好ましくない制限モード離脱や環境変更等を防止することが可能となる。
【０１０６】
＜その他の実施形態＞
図１８は、その他の実施形態におけるソフトウェア情報テーブル５０Ｃの構成を示す図である。上記第二の実施形態において図１５を用いて説明した例では、制限モード識別子７１各々に定義されたソフトウェアリスト７３に対しソフトウェア条件リスト７６を設定することで同じソフトウェアを個々の制限モード毎に異なる時間帯で提供できる構成としていた。これに対して、図１８に示すように、ソフトウェア識別子５１毎にソフトウェア条件リスト５４を設定する構成とすると、ソフトウェア条件リスト５４を変更するだけで、ソフトウェア毎にサービス提供時間を一括して変更することが可能となる。このような実施形態によれば、何れの制限モードにおいても、同じ時間帯で離脱インターフェース提供ソフトウェアを提供する構成とすることが出来る。
【０１０７】
図１９は、その他の実施形態における制限モード定義情報テーブル２７０の構成を示す
図である。図１９に示した例では、認証リスト７４毎に認証条件リスト７７が設定される。管理サーバ１ｓの識別情報受信部４２は、利用者の認証が行われるステップＳ２０４において、受信した認証情報が認証条件リスト７７に挙げられた条件情報を満足するか否かを判定し、条件を満足する場合のみ後段の処理（ステップＳ２０５以降の処理）に進む。なお、ここで評価される認証のための条件情報は、図１６に示した条件情報テーブル１５０に、ソフトウェア配信の可否を判断するための条件情報と共に蓄積されてもよい。この構成によれば、制限モード識別子７１に定義された利用者グループ単位の認証に加え、利用者個別の認証条件を設定することが出来る。
【０１０８】
なお、上記第二の実施形態において図１５を用いて説明した例では、制限モード毎に制限モード有効期限７５を設定することで、制限モードの利用可能期限（寿命）を与える構成としていた。これに代えて、図１９に示した例では、制限モード条件リスト７８が制限モード毎に設けられる。そして、管理サーバ１ｓの識別情報受信部４２は、ステップ２０４において、認証情報と共に、または認証情報に含まれた形で、ユーザ端末を特定する特定情報を受信して、受信した特定情報が制限モード条件リスト７８に挙げられた条件情報を満足するか否かを判定し、条件を満足する場合のみ後段の処理（ステップＳ２０５以降の処理）に進む。ここで、ユーザ端末を特定する特定情報とは、例えば、ユーザ端末のＭＡＣアドレスや、ユーザ端末に割り当てられたＩＰアドレス、ユーザ端末１ｃに備えられたＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）で取得された位置情報等である。この構成によれば、制限モードの利用可能期限だけではなく、例えばユーザ端末１ｃのＭＡＣアドレスやＩＰアドレス、位置情報等、ユーザ端末を特定する情報に基づく利用制限を設定することが出来る。
【０１０９】
例えば、ユーザ端末１ｃの位置情報がＧＰＳ等によって取得された緯度経度情報である場合、ユーザ端末１ｃは、緯度経度情報を取得する機能を備え、取得した緯度経度情報を、認証情報と共に、または認証情報に含めて管理サーバ１ｓへ送信する。対応する条件情報（図１９のｃｏｎｄｉｔｉｏｎα）の条件１５５には、緯度経度の範囲が設定されており、例えば、設定された緯度経度の範囲にユーザ端末１ｃがある場合にのみ、管理サーバ１ｓは離脱インターフェース提供ソフトウェアを配信する。
【０１１０】
また、例えば、インターネット接続プロバイダやＤＨＣＰサーバ（ローカルエリアネットワーク内のＩＰアドレス自動割り当てサーバ）等によってユーザ端末１ｃに割り当てられたＩＰアドレス情報を、認証情報と共に、または認証情報に含めて管理サーバ１ｓへ送信することとしてもよい。この場合、対応する条件情報（図１９のｃｏｎｄｉｔｉｏｎα）の条件１５５には、ＩＰアドレスの範囲が設定されており、例えば、設定されたＩＰアドレスの範囲にユーザ端末１ｃがある場合にのみ、管理サーバ１ｓは離脱インターフェース提供ソフトウェアを配信する。
【符号の説明】
【０１１１】
１ ユーザ端末管理システム
１ｓ 管理サーバ
１ｃ 情報処理端末
２１ 識別情報送信部
２２ 制限モード定義情報受信部
２４ 制限モード設定部
２５ 権限設定部
２６ 判定部
２７ 一時領域確保部
２８ ソフトウェア受信部
２９ 一時領域記録部
３０ 変換情報蓄積部
３１ ソフトウェア実行部
４１ 認証部
４２ 識別情報受信部
４３ 制限モード定義情報送信部
４５ ソフトウェア送信部
【技術分野】
【０００１】
本発明は、情報処理端末および管理サーバを有するユーザ端末管理システムに関する。
【背景技術】
【０００２】
従来、ホストコンピュータ上に、仮想マシンと呼ばれる擬似的なコンピュータハードウェアを構成し、この仮想マシン上でゲストＯＳ（オペレーティングシステム）を稼動させる、仮想マシン技術がある（例えば、特許文献１を参照）。
【０００３】
また、ホストコンピュータに直接接続されたＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）等にはＯＳを記憶させずに、起動時にＯＳをＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）やネットワークを介して接続された他のコンピュータから読み込んで起動する技術がある（例えば、特許文献２を参照）
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００５−１１５６５３号公報
【特許文献２】特開２００６−１２７１６９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
従来、情報処理端末と通信ネットワークとの組み合わせによる情報通信システムにおいて、コンピュータウィルスによる被害や情報漏洩等の事象が発生しているが、これは、近年のコンピュータの構成である、プログラムやデータを書き換え可能な記憶装置に記録していることに起因した問題である。即ち、データをユーザの意図に拘らずネットワークへ送信してしまうソフトウェアが、一旦記憶装置に記録されてしまうと、このソフトウェアはシステムに常駐し、被害が継続する。また、データをコンピュータの記憶装置に保存しているため、コンピュータが紛失または盗難されることによって、情報が漏洩する。
【０００６】
このような事象に対応するために、従来、情報処理端末にプログラムおよびデータを残さない技術が提案されている。例えば、コンピュータ上に仮想マシンと呼ばれる擬似的なコンピュータハードウェアを構成し、この仮想マシン上にてゲストＯＳを起動し、ゲストＯＳ上で作業を行うという、仮想マシン手法がある。また、情報処理端末にはＯＳを記憶させずに、ネットワークの先にＯＳイメージを用意して、起動時にネットワーク越しにダウンロードして不揮発性記憶装置を有さない情報処理端末のＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）に展開するという、所謂シンクライアント手法がある。そして、これらの手法によれば、情報処理端末上にプログラムやデータを残さず、ウィルス等のマルウェアが常駐する問題や、上処理端末から情報が漏洩する問題に対処することが出来る。
【０００７】
しかし、これらの手法では、環境は一元化され、ユーザごと、または作業ごとに環境を構築することが困難である。仮想マシン手法では、ユーザに管理者権限を与えれば、ユーザに環境を構築させることが可能であるが、ユーザが自由にソフトウェアをインストールしたり、システムに変更を加えたりする権限を有することとなり、セキュリティが損なわれる。また、ユーザに管理者権限を与えずに、管理者が情報処理端末ごと、または利用シーンごとに環境を構築させることとすると、管理者の作業量が膨大なものとなり、現実的ではない。シンクライアント手法において情報処理端末ごとまたは利用シーンごとに環境を構築するためには、ＯＳイメージを保持するサーバ側に、様々な設定のＯＳやＯＳとア
プリケーションとの組み合わせを蓄積する必要が生じ、サーバ側のリソースを大量に消費するという問題がある。
【０００８】
本発明は、上記の問題に鑑み、情報処理端末において高いセキュリティを確保した状態で、ユーザのニーズに応じた様々な作業環境を提供することを課題とする。
【課題を解決するための手段】
【０００９】
本発明は、上記の課題を解決するために、情報処理端末またはユーザに応じたソフトウェアを、不揮発性記憶装置中の、端末の起動または終了に際して初期化される領域に記録して実行することで、情報処理端末において高いセキュリティを確保した状態で、ユーザのニーズに応じた様々な作業環境を提供することを可能にした。
【００１０】
詳細には、本発明は、不揮発性記憶装置を有し、管理サーバと通信可能に接続された情報処理端末であって、前記不揮発性記憶装置における一部の領域を、該情報処理端末の起動または終了に際して初期化される一時領域として確保する一時領域確保手段と、該情報処理端末を使用するユーザまたは該情報処理端末を、識別するための識別情報を前記管理サーバに送信する識別情報送信手段と、前記識別情報に係る情報処理端末またはユーザに応じたソフトウェアを、前記識別情報を受信した前記管理サーバから受信するソフトウェア受信手段と、前記ソフトウェア受信手段によって受信されたソフトウェアを前記一時領域に記録する一時領域記録手段と、前記ソフトウェアを前記一時領域から読み出して実行することで、該ソフトウェアの機能を、前記情報処理端末を使用するユーザに提供するソフトウェア実行手段と、を備える、情報処理端末である。
【００１１】
不揮発性記憶装置とは、ＨＤＤやフラッシュＥＥＰＲＯＭ等の、電源の供給が行われなくても記録された情報が維持される記憶装置である。本発明では、この不揮発性記憶装置上に、情報処理端末の起動または終了に際して初期化される一時領域を確保し、管理サーバから受信したソフトウェアをこの一時領域に記録することで、ユーザのニーズに応じて様々な作業環境を提供可能な情報処理端末を実現している。
【００１２】
また、本発明に係る情報処理端末は、前記識別情報に係る情報処理端末に所定の作業環境を構築するためのソフトウェアの組み合わせ、または前記識別情報に係るユーザに所定のサービスを提供するためのソフトウェアの組み合わせ、を示すソフトウェアのリストを、前記識別情報を受信した前記管理サーバから受信するソフトウェアリスト受信手段と、前記ソフトウェアリスト受信手段によって受信された１または複数のリストをユーザに提示し、ユーザによるリストの選択を受け付ける受付手段と、を更に備え、前記ソフトウェア受信手段は、前記選択されたリストに含まれるソフトウェアを前記サーバから受信してもよい。
【００１３】
情報処理端末に所定の作業環境を構築するためのソフトウェアの組み合わせ、またはユーザに所定のサービスを提供するためのソフトウェアの組み合わせ、を示すソフトウェアのリストから、ユーザの所望するリストを選択させ、このリストに含まれるソフトウェアを受信することで、ユーザのニーズに応じた作業環境を用意に構築することが可能となる。
【００１４】
また、前記情報処理端末は、揮発性記憶装置を更に有し、前記一時領域記録手段は、該情報処理端末のオペレーティングシステムによる前記不揮発性記憶装置への書き込みアクセスを横取りし、該書き込みアクセスの書き込み先アドレスを前記一時領域内のアドレスへ変換することで、前記ソフトウェア受信手段によって受信されたソフトウェアを前記一時領域に記録し、前記変換された書き込みアクセスの変換前のアドレスと変換後のアドレスとの対応関係を示す変換情報を、前記揮発性記憶装置に蓄積する変換情報蓄積手段を更
に備えてもよい。
【００１５】
本発明によれば、変換情報が揮発性記憶装置に蓄積されるため、再起動や電源断等で、揮発性記憶装置に記録された変換情報が失われ、変換情報を参照して一時領域にアクセスすることが出来なくなる。これによって、一時領域からの情報の読出しが困難となり、マルウェアの残留や情報漏洩を防止することが可能となる。また、前記一時領域は、該情報処理端末の起動または終了に際して前記揮発性記憶装置に蓄積された変換情報が揮発することで初期化されてもよい。
【００１６】
また、本発明は、上記情報処理端末を管理する管理サーバとしても把握することが可能である。即ち、本発明は、ユーザによって使用される情報処理端末であるユーザ端末と通信可能に接続された管理サーバであって、前記ユーザ端末または該ユーザ端末を使用するユーザを識別するための識別情報を前記ユーザ端末より受信する識別情報受信手段と、前記識別情報に係るユーザ端末またはユーザに応じたソフトウェアを、該ユーザ端末に送信して、前記ユーザ端末の起動または終了に際して初期化される一時領域に保存させるソフトウェア送信手段と、を備える、管理サーバである。
【００１７】
このような管理サーバによって情報処理端末が管理されることで、管理者は、ユーザ端末のセキュリティを高い状態に保ちつつ、ユーザに対して柔軟に作業環境を提供することが出来る。
【００１８】
また、本発明に係る管理サーバは、前記識別情報に係る情報処理端末に所定の作業環境を構築するためのソフトウェアの組み合わせ、または前記識別情報に係るユーザに所定のサービスを提供するためのソフトウェアの組み合わせ、を示すソフトウェアのリストを蓄積するソフトウェアリスト蓄積手段と、前記識別情報に係る情報処理端末またはユーザに応じた前記リストを送信するソフトウェアリスト送信手段と、を更に備え、前記ソフトウェア送信手段は、前記ソフトウェアリスト送信手段によって送信された１または複数のリストのうちの、前記ユーザ端末において選択されたリストに基づいて該ユーザ端末より要求されたソフトウェアを、該ユーザ端末に送信してもよい。
【００１９】
また、前記リストは、該リストの有効期限を示す情報に関連付けて蓄積され、前記ソフトウェアリスト送信手段は、前記識別情報に係る情報処理端末またはユーザに応じた前記リストのうち、有効期限内にある前記リストのみを送信してもよい。これによって、管理者は、ソフトウェアリストを使用して提供される作業環境の利用期限を設定することが出来、ユーザに対して作業環境を提供する期間をコントロールすることが可能となる。
【００２０】
また、本発明に係る管理サーバは、前記識別情報受信手段によって受信された識別情報を用いて前記ユーザ端末または該ユーザ端末を使用するユーザを認証する認証手段を更に備え、前記ソフトウェア送信手段は、認証されたユーザ端末またはユーザに関連付けられたソフトウェアを送信してもよい。
【００２１】
また、本発明は、
不揮発性記憶装置を有し、管理サーバと通信可能に接続された情報処理端末であって、
前記不揮発性記憶装置における一部の領域を、該情報処理端末の起動または終了に際して初期化される一時領域として確保する一時領域確保手段と、
前記不揮発性記憶装置に対する書き込み内容を前記一時領域に記録することで、該情報処理端末を、前記不揮発性記憶装置の他の領域への書き込みが制限される制限モードで動作させる、一時領域記録手段と、
前記制限モードでの動作を終了させるための制限モード離脱用ソフトウェアを、前記管理サーバから受信するソフトウェア受信手段と、
前記ソフトウェア受信手段によって受信されて前記一時領域に記録された前記制限モード離脱用ソフトウェアを読み出して実行することで、該情報処理端末の前記制限モードでの動作を終了させる、ソフトウェア実行手段と、
を備える、情報処理端末である。
【００２２】
また、本発明は、
不揮発性記憶装置に対する書き込み内容を該不揮発性記憶装置の一時領域へ記録することで該不揮発性記憶装置の他の領域への書き込みを制限する、制限モードで動作可能な情報処理端末に対して通信可能に接続され、
前記情報処理端末によって実行されることで前記制限モードでの動作を終了させるための、制限モード離脱用ソフトウェアを蓄積するソフトウェア蓄積手段と、
前記情報処理端末に対して前記制限モード離脱用ソフトウェアを送信して、前記情報処理端末の一時領域に保存させるソフトウェア送信手段と、
を備える管理サーバである。
【００２３】
ここで、制限モード離脱用ソフトウェアとは、不揮発性記憶装置の一時領域以外の領域への書き込みが制限される制限モードを終了させるためのソフトウェアである。本発明では、このような制限モード離脱用ソフトウェアを管理サーバから配信し、情報処理端末の一時領域に記録させることで、ユーザの故意や過失による、好ましくない制限モード離脱を防止することを可能としている。また、本発明によれば、制限モード離脱用ソフトウェアを情報処理端末に恒常的に保持させることなく、管理サーバによって配信の有無を管理出来るため、制限モードの離脱の許可／不許可を、管理サーバ側で管理することが可能となる。
【００２４】
また、本発明において、
前記ソフトウェア送信手段は、前記情報処理端末における前記制限モードでの動作終了が許可される期間内である場合に、前記情報処理端末に対して前記制限モード離脱用ソフトウェアを送信してもよい。
【００２５】
即ち、本発明によれば、管理サーバによって制限モード離脱用ソフトウェアを送信する期間を管理することで、予め設定された期間内である場合にのみ、情報処理端末において制限モードを終了させることを許可し、それ以外の期間においては制限モードの終了を防止することが可能となる。
【００２６】
また、本発明に係る管理サーバは、
前記情報処理端末または該情報処理端末を使用するユーザを識別するための識別情報を前記情報処理端末より受信する識別情報受信手段を更に備え、
前記ソフトウェア送信手段は、前記識別情報に係る情報処理端末またはユーザが、前記制限モードによる動作を終了させる権限を有する情報処理端末またはユーザである場合に、前記制限モード離脱用ソフトウェアを、該情報処理端末に送信してもよい。
【００２７】
本発明によれば、情報処理端末またはユーザが、制限モードを終了させる権限を有するか否かを判断し、権限を有する場合にのみ制限モードを終了させることを許可することで、権限のない情報処理端末やユーザが制限モードを終了させてしまうことを防止出来る。
【００２８】
更に、本発明は、コンピュータが実行する方法、又はコンピュータに実行させるプログラムとしても把握することが可能である。また、本発明は、そのようなプログラムをコンピュータその他の装置、機械等が読み取り可能な記録媒体に記録したものでもよい。ここで、コンピュータ等が読み取り可能な記録媒体とは、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータ等から読
み取ることができる記録媒体をいう。
【発明の効果】
【００２９】
本発明によって、情報処理端末において高いセキュリティを確保した状態で、ユーザのニーズに応じた様々な作業環境を提供することが可能となる。
【図面の簡単な説明】
【００３０】
【図１】実施形態に係るユーザ端末管理システムのハードウェア構成の概略を示す図である。
【図２】実施形態に係るユーザ端末管理システムの機能構成の概略を示す図である。
【図３Ａ】実施形態におけるソフトウェア情報テーブルの構成を示す図である。
【図３Ｂ】実施形態におけるソフトウェア情報テーブルの構成を示す図である。
【図４】実施形態における認証情報テーブルの構成を示す図である。
【図５】実施形態における制限モード定義情報テーブルの構成を示す図である。
【図６】実施形態における記憶領域の構成を示す図である。
【図７】実施形態におけるアドレス変換テーブルを示す図である。
【図８】実施形態に係る制限モード定義情報を作成する処理の流れを示すフローチャートである。
【図９】実施形態においてディスプレイに表示される制限モード定義情報作成インターフェースのイメージを示す図である。
【図１０Ａ】実施形態における制限モード制御処理の流れを示すフローチャートである。
【図１０Ｂ】実施形態における制限モード制御処理の流れを示すフローチャートである。
【図１１】実施形態においてディスプレイに表示される制限モード定義情報選択インターフェースのイメージを示す図である。
【図１２】実施形態においてディスプレイに表示される制限モード離脱インターフェースのイメージを示す図である。
【図１３】実施形態における非制限モード移行処理の流れを示すフローチャートである。
【図１４】実施形態における残留防止処理の流れを示すフローチャートである。
【図１５】第二の実施形態における制限モード定義情報テーブルの構成を示す図である。
【図１６】第二の実施形態における条件情報テーブルの構成を示す図である。
【図１７】第二の実施形態における制限モード制御処理の流れを示すフローチャートである。
【図１８】その他の実施形態におけるソフトウェア情報テーブルの構成を示す図である。
【図１９】その他の実施形態における制限モード定義情報テーブルの構成を示す図である。
【発明を実施するための形態】
【００３１】
本発明に係る情報処理端末および管理サーバを有するユーザ端末管理システムの実施の形態について、図面に基づいて説明する。
【００３２】
＜第一の実施形態＞
図１は、本実施形態に係るユーザ端末管理システム１のハードウェア構成の概略を示す図である。ユーザ端末管理システム１は、管理サーバ１ｓと、管理サーバ１ｓにネットワーク２を介して接続された１または複数のユーザ端末１ｃとを有する。管理サーバ１ｓは、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１ｓ、ＲＡＭ（Ｒａｎ
ｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１２ｓ等の主記憶装置、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）１３ｓ等の補助記憶装置、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１４ｓ、およびＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）１５ｓ等のネットワークインターフェース等を有するコンピュータである。管理サーバ１ｓは、ネットワーク２を介して接続された管理者端末１ａによって管理されるが、ディスプレイ、キーボード、マウス等を備えてもよい。
【００３３】
また、ユーザ端末１ｃは、ＣＰＵ１１ｃ、揮発性記憶装置であり端末の再起動や終了に伴って記録された情報が失われるＲＡＭ１２ｃ、不揮発性記憶装置であり端末が再起動または終了された場合にも記録された情報が維持されるＨＤＤ１３ｃ、ＲＯＭ１４ｃ、およびＮＩＣ１５ｃ等のネットワークインターフェース等を有するコンピュータである。なお、本実施形態では、ユーザ端末１ｃは更にディスプレイ１６ｃ等の出力装置、およびキーボード１７ｃ、マウス１８ｃ等の入力装置等を有する。また、ユーザ端末１ｃのＯＳは、システムへの変更またはソフトウェアの追加を行うための権限である管理者権限の有無をユーザごとに設定可能なＯＳである。
【００３４】
図２は、本実施形態に係るユーザ端末管理システム１の機能構成の概略を示す図である。図１に示したハードウェア構成を有する管理サーバ１ｓは、ＨＤＤ１３ｓ上にインストールされたプログラムをＣＰＵ１１ｓが読み出してＲＡＭ１２ｓに展開し、展開されたプログラムをＣＰＵ１１ｓが解釈および実行することで、ソフトウェア蓄積部４６と、ソフトウェアのリストを含む制限モード定義情報を蓄積する制限モード定義情報蓄積部４４と、ユーザまたはユーザ端末１ｃの識別情報をユーザ端末１ｃより受信する識別情報受信部４２と、受信された識別情報を用いてユーザ端末１ｃまたはユーザを認証する認証部４１と、情報処理端末またはユーザに応じた制限モード定義情報を送信する制限モード定義情報送信部４３と、ユーザ端末１ｃにおいて選択された制限モード定義情報に含まれるソフトウェアをユーザ端末１ｃに送信するソフトウェア送信部４５と、を備える管理サーバ１ｓとして機能する。
【００３５】
同様に、図１に示したハードウェア構成を有するユーザ端末１ｃは、ＲＡＭ１２ｃに展開されたプログラムをＣＰＵ１１ｃが解釈および実行することで、ユーザまたはユーザ端末１ｃの識別情報を管理サーバ１ｓに送信する識別情報送信部２１と、管理サーバ１ｓから制限モード定義情報を受信する制限モード定義情報受信部２２と、ユーザによる制限モード定義情報の選択および制限モード有効化の指示を受け付ける受付部２３と、制限モード設定部２４と、次回起動時のログインユーザを、管理者権限を有さないユーザに設定する権限設定部２５と、制限モードが有効であるか否かを判定する判定部２６と、ＨＤＤ１３ｃにおける一部の領域を一時領域８２として確保する一時領域確保部２７と、選択された制限モード定義情報に含まれるソフトウェアを管理サーバ１ｓから受信するソフトウェア受信部２８と、制限モード有効時にＨＤＤ１３ｃへの書き込みデータを一時領域８２に記録する一時領域記録部２９と、一時領域８２への記録の際の変換情報を蓄積する変換情報蓄積部３０と、ソフトウェアを一時領域８２から読み出して実行するソフトウェア実行部３１と、一時領域８２を含むＨＤＤ１３ｃに記録された情報を読み出す読出部３２と、を備えるユーザ端末１ｃとして機能する。
【００３６】
ここで、サービスとは、ユーザ端末１ｃまたはサービス提供サーバにおいて実行されるソフトウェアによって提供される機能である。サービスの提供の形態としては、ユーザ端末１ｃにダウンロードされたソフトウェアがユーザ端末１ｃによって実行されることでサービスが提供される形態や、サービス提供サーバにおいて主要な処理が行われ、ユーザ端末１ｃではサーバから受信した処理結果の表示を主に担うソフトウェアが実行される形態等が用いられてよい。
【００３７】
また、一時領域８２とは、ユーザ端末１ｃの起動または終了に際してＲＡＭ１２ｃに蓄積された変換情報が失われることで初期化されるＨＤＤ１３ｃにおける一部の領域である。一時領域記録部２９は、判定部２６によって制限モードが有効であると判定された場合に、オペレーティングシステムによるＨＤＤ１３ｃへの書き込みアクセスを横取り（フック）し、一時領域８２への書き込みアクセスへ変換することで、ＨＤＤ１３ｃに書き込まれようとしているデータを一時領域８２に記録する。そして、変換情報蓄積部３０は、変換された書き込みアクセスの変換前のアドレスと変換後のアドレスとの対応関係を示す変換情報を、ＲＡＭ１２ｃに蓄積する。
【００３８】
また、制限モードとは、ユーザ端末１ｃにおいてセキュリティを確保するための機能が有効となっている状態であり、セキュリティを確保しつつ様々な作業環境を提供するために、複数種類の制限モードが提供される。
【００３９】
管理サーバ１ｓの制限モード定義情報蓄積部４４は、識別情報に係る情報処理端末に所定の作業環境を構築するためのソフトウェアの組み合わせ、または識別情報に係るユーザに所定のサービスを提供するためのソフトウェアの組み合わせを含む、制限モード定義情報を蓄積する。
【００４０】
図３Ａおよび図３Ｂは、本実施形態におけるソフトウェア情報テーブル５０Ａ、５０Ｂの構成を示す図である。ソフトウェア情報テーブル５０Ａ、５０Ｂには、ソフトウェア蓄積部４６によって蓄積されたソフトウェアを識別するためのソフトウェア識別子５１と、ソフトウェア名称５２と、管理サーバ１ｓにおけるソフトウェア本体の保存位置を示すファイルパス５３と、を含むソフトウェア情報が蓄積される。なお、本実施形態において、ソフトウェア情報テーブル５０Ａには、残留防止の対象となるソフトウェア、即ち、ユーザ端末１ｃの利用終了後に、ユーザ端末１ｃのＨＤＤ１３ｃ上に残されないソフトウェアの情報が蓄積される。これに対して、ソフトウェア情報テーブル５０Ｂには、残留防止の対象とならないソフトウェア、例えば、オペレーティングシステムの更新ファイルや、セキュリティ対策ソフトウェアの更新ファイル、ウィルス定義ファイル等、セキュリティの観点上システムに残すことが好ましいソフトウェアの情報が蓄積される。
【００４１】
また、図４は、本実施形態における認証情報テーブル６０の構成を示す図である。認証情報テーブル６０には、認証を受けるユーザまたはユーザ端末１ｃを識別するための認証識別子６１と、認証識別子６１によって認証されるユーザまたは端末の名称６２と、認証に用いられるパスワード等が含まれる認証符号６３と、を含む認証情報が蓄積される。
【００４２】
図５は、本実施形態における制限モード定義情報テーブル７０の構成を示す図である。制限モード定義情報テーブル７０には、制限モード識別子７１と、制限モード名称７２と、この制限モードで使用が許可されるソフトウェアのソフトウェア識別子５１がリストされるソフトウェアリスト７３と、この制限モードの使用が許可されるユーザまたは端末の認証識別子６１がリストされる認証リスト７４と、この制限モードの使用が許可される期限を示す制限モード有効期限７５と、を含む制限モード定義情報が蓄積される。ユーザは、提示された複数種類の制限モード定義情報から、所望の制限モード定義情報を選択することで、この定義情報に応じた作業環境の提供を受けることが出来る。
【００４３】
図６は、本実施形態における記憶領域８０の構成を示す図である。ユーザ端末１ｃのＨＤＤ１３ｃ上に確保された記憶領域８０には、制限モードフラグ８１および一時領域８２が含まれ、制限モードフラグ８１には、制限モード設定部２４によって、制限モードが有効であることを示す値（例えば、「１」）、または制限モードが無効となっていることを示す値（例えば、「０」）が書き込まれる。また、一時領域８２は、制限モードが有効となっている間に、アドレス変換によってＨＤＤ１３ｃへの書き込みアクセスがリダイレク
トされる領域である。即ち、制限モードが有効となっている間、原則としてデータは一時領域８２に記録される。
【００４４】
図７は、本実施形態におけるアドレス変換テーブル９０を示す図である。アドレス変換テーブル９０には、一時領域８２への書込み時の変換元アドレス９１と変換先アドレス９２との対応関係が蓄積される。アドレス変換テーブル９０に蓄積された情報は、一時領域８２からの情報の読み出し時に参照される。なお、本実施形態では、アドレス変換は、対応表を参照することで変換元アドレス９１に対応する変換先アドレス９２を取得することとしているが、これに代えて、変換元アドレス９１を所定の計算式を用いて変換することで、変換先アドレス９２を取得することとしてもよい。
【００４５】
図８は、本実施形態に係る制限モード定義情報を作成する処理の流れを示すフローチャートである。本フローチャートに示された処理は、管理サーバ１ｓまたは管理サーバ１ｓにログインした管理者端末１ａにおいて、管理者によって制限モード定義情報の作成開始を指示する入力が行われたことを契機として開始される。
【００４６】
ステップＳ１０１からステップＳ１０３では、制限モード定義情報を作成するにあたってユーザに選択させるための各種情報が読み出され、これらの情報が、管理サーバ１ｓまたは管理者端末１ａのディスプレイに表示される。管理サーバ１ｓは、予め準備されたソフトウェア情報をソフトウェア情報テーブル５０Ａ、５０Ｂから読み出し、認証情報を認証情報テーブル６０から読み出す。そして、管理サーバ１ｓは、読み出されたソフトウェア情報および認証情報を、管理サーバ１ｓに接続されたディスプレイ、または管理サーバ１ｓに接続された管理者端末１ａのディスプレイに表示する。
【００４７】
図９は、本実施形態においてディスプレイに表示される制限モード定義情報作成インターフェース１００のイメージを示す図である。制限モード定義情報作成インターフェース１００は、作成される制限モード定義情報に係る制限モードの名称が入力される名称入力欄１０１と、ステップＳ１０１で読み出されたソフトウェア情報が選択される選択可能ソフトウェア表示欄１０２と、選択された１または複数のソフトウェアが表示される選択済みソフトウェア表示欄１０３と、選択したいソフトウェアを選択済みソフトウェアに追加する追加ボタン１０４ａと、選択済みソフトウェアを削除する削除ボタン１０４ｄと、ステップＳ１０２で読み出された認証情報が選択される選択可能認証情報表示欄１０５と、選択された１または複数の認証情報が表示される選択済み認証情報表示欄１０６と、選択したい認証情報を選択済み認証情報に追加する追加ボタン１０７ａと、選択済み認証情報を削除する削除ボタン１０７ｄと、作成される制限モード定義情報の有効期限を入力する有効期限入力欄１０８と、入力または選択内容を確定して新規制限モード定義情報を作成する新規作成ボタン１０９と、を有する。
【００４８】
ステップＳ１０４では、制限モード定義情報を作成するにあたって必要な情報の入力および選択が受け付けられる。管理サーバ１ｓは、ディスプレイに表示された制限モード定義情報作成インターフェース１００を介して行われる入力操作および選択操作を受け付けることで、制限モードの名称、ソフトウェア、認証情報および有効期限の入力または選択を受け付ける。
【００４９】
即ち、管理者は、制限モード定義情報を作成するにあたって、ディスプレイに表示された制限モード定義情報作成インターフェース１００を見ながら、キーボード、マウス等の入力装置を用いて、制限モードの名称の入力、ソフトウェアの選択、認証情報の選択、および有効期限の入力を行う。ここで、ソフトウェアおよび認証情報は、複数選択されてもよい。本実施形態では、ドロップダウンメニューを用いて表示されたソフトウェアまたは認証情報が、追加ボタン１０４ａ、１０７ａの押下によって選択状態となる。選択状態に
ある選択済みソフトウェア／認証情報は、選択済みソフトウェア／認証情報表示欄１０３、１０６に表示され、新規作成ボタン１０９の押下によって確定される。その後、処理はステップＳ１０５へ進む。
【００５０】
ステップＳ１０５では、制限モード定義情報が作成される。管理サーバ１ｓは、ステップＳ１０４で入力または選択された情報を、制限モード名称７２、ソフトウェアリスト７３、認証リスト７４および制限モード有効期限７５として含む制限モード定義情報を作成し、制限モード定義情報テーブル７０に蓄積する。この際、管理サーバ１ｓは、制限モード定義情報を識別するための一意の識別子を生成し、制限モード識別子７１として制限モード定義情報に保持させる。識別子は、例えば、作成日時等を含む識別子とすることが出来る。その後、本フローチャートに示された処理は終了する。
【００５１】
即ち、本フローチャートに示された処理によれば、管理者は、ユーザに提供したい作業環境および適用したいセキュリティに応じた制限モードを、簡易に作成することが出来る。なお、ここで制限モード定義情報の生成が成功した場合に、制限モード定義情報が正常に作成された旨をユーザに伝えるためのメッセージが表示されることとしてもよい。また、管理者は、制限モード定義情報を複数作成することが出来る。異なるソフトウェア識別子５１と認証識別子６１との組み合わせによる制限モード定義情報を生成しておくことで、ソフトウェアの選択および該ソフトウェアを利用できるユーザの限定を、制限モードを選択させるのみで行うことが出来る。
【００５２】
例えば、ファイルサーバへアクセスするためのソフトウェアと、アクセスを許可したいユーザを制限モード定義情報に設定しておくことで、限定されたユーザ間でのデータ共有が可能となる。
【００５３】
図１０Ａおよび図１０Ｂは、本実施形態における制限モード制御処理の流れを示すフローチャートである。本フローチャートに示された処理は、システムの起動に伴って開始される。なお、本フローチャートに示された処理では、制限モードフラグ８１が操作され、制限モードフラグ８１の状態に基づいて処理の流れが決定される。はじめに、起動時において制限モードフラグ８１が有効でない（または、無効である）場合の処理の流れについて説明する。なお、本実施形態では、ＯＳ等のシステムプログラムはＨＤＤ１３ｃより読み出されることとしているが、システムプログラムの少なくとも一部をＲＯＭ、ＤＶＤ等の書換不可能な記憶装置に記録しておき、システム起動時に毎回展開させることで、プログラムの改変を抑止してもよい。
【００５４】
ステップＳ２０１およびステップＳ２０２では、システムの起動処理および制限モードフラグ８１の判定が行われる。判定部２６は、システムの起動後、ＨＤＤ１３ｃに保存された制限モードフラグ８１を参照し、制限モードフラグ８１が制限モード有効を示す値に設定されているか否かを判定する。制限モードフラグ８１が制限モード有効を示す値に設定されていると判定された場合、処理はステップＳ２２１へ進み（図１０Ｂを参照）、以降、制限モードフラグ８１が無効に設定されるまで、システムは制限モードで動作する。制限モードフラグ８１が制限モード有効を示す値に設定されていない（または、無効を示す値に設定されている）と判定された場合、処理はステップＳ２０３へ進み、以降、制限モードフラグ８１が有効に設定されるまで、システムは非制限モードで動作する。
【００５５】
ステップＳ２０３およびステップＳ２０４では、認証情報に基づいた認証処理が行われる。ユーザ端末１ｃは、ユーザ端末１ｃのディスプレイ１６ｃに認証インターフェース（図示は省略する）を表示し、識別情報送信部２１は、このインターフェースを介してユーザによって入力された認証情報（例えば、ユーザ名称とパスワード等）を、管理サーバ１ｓへ送信する（ステップＳ２０３）。管理サーバ１ｓの識別情報受信部４２は、送信され
た認証情報を、ネットワーク２を介して受信し、認証部４１は、受信された認証情報と予め認証情報テーブル６０に保持されている認証情報とを比較することで、ユーザ端末１ｃまたはユーザ端末１ｃを使用しているユーザを認証する（ステップＳ２０４）。
【００５６】
より具体的には、管理サーバ１ｓの認証部４１が、受信された認証情報に含まれるユーザまたは端末の名称６２または認証識別子６１を検索キーとして認証情報テーブル６０を検索し、抽出された認証情報の認証符号６３と受信された認証情報に含まれるパスワード等を比較することで、認証が行われる。なお、本実施形態では、ユーザによって入力された認証情報を送信することとしているが、これに代えて、予め設定された認証情報が、ユーザ端末１ｃの起動時に自動的に送信されることとしてもよい。その後、処理はステップＳ２０５へ進む。なお、認証処理は、ワンタイムパスワードや、秘密鍵と公開鍵を用いた認証処理等、実施の形態に応じて採用された認証プロトコルを用いた認証処理であってよい。
【００５７】
ステップＳ２０５からステップＳ２０７では、制限モード定義情報の送受信が行われる。管理サーバ１ｓの制限モード定義情報送信部４３は、ステップＳ２０４で認証されたユーザまたはユーザ端末１ｃの認証識別子６１を検索キーとして制限モード定義情報テーブル７０を検索することで、認証に係る制限モード定義情報を抽出する（ステップＳ２０５）。ここで、制限モード定義情報送信部４３は、管理サーバ１ｓの内蔵時計（図示は省略する）に基づく日時情報と、制限モード定義情報に含まれる有効期限７５とを比較し、有効期限を超過している（期限切れの）制限モード定義情報は、抽出の結果に含ませない。そして、制限モード定義情報送信部４３は、抽出された制限モード定義情報をユーザ端末１ｃへ送信し（ステップＳ２０６）、ユーザ端末１ｃの制限モード定義情報受信部２２は、ネットワーク２を介して制限モード定義情報を受信する（ステップＳ２０７）。その後、処理はステップＳ２０８へ進む。
【００５８】
ステップＳ２０８では、ステップＳ２０７で受信された制限モード定義情報が複数あるか否かが判定される。複数の制限モード定義情報が受信されたと判定された場合、処理はステップＳ２０９へ進む。受信された制限モード定義情報が複数ではない（単一である）と判定された場合、処理はステップＳ２１０へ進む。
【００５９】
ステップＳ２０９では、受信された制限モード定義情報が複数ある場合に、ユーザによる選択が受け付けられる。受付部２３は、受信された複数の制限モード定義情報に基づいて、複数の制限モード定義情報のうち、このユーザ端末１ｃに提供する制限モード定義情報をユーザに選択させるための制限モード定義情報選択インターフェース１１０をディスプレイ１６ｃに表示する。
【００６０】
図１１は、本実施形態においてディスプレイ１６ｃに表示される制限モード定義情報選択インターフェース１１０のイメージを示す図である。制限モード定義情報選択インターフェース１１０は、ユーザに対する制限モードについての説明を含むメッセージ表示欄１１１と、制限モード名称７２および有効期限７５が表示される制限モード選択ボタン１１２と、を有する。マウス１８ｃ等の入力装置を用いてユーザは制限モード選択ボタン１１２をクリックすることで、所望の制限モードを選択することが出来る。受付部２３は、制限モード定義情報インターフェースを介して、ユーザによる制限モード定義情報の選択を受け付ける。その後、処理はステップＳ２１０へ進む。
【００６１】
ステップＳ２１０では、ソフトウェア識別子５１が送信される。ユーザ端末１ｃのソフトウェア受信部２８は、制限モード定義情報のソフトウェアリスト７３に含まれるソフトウェアのうち、残留防止の対象とならないソフトウェア、即ち、制限モードが有効であるか否かに拘らずユーザ端末１ｃのＨＤＤ１３ｃ上に残されるべきソフトウェアの識別子を
送信する。ここで、残留防止とは、データを一時領域８２へ記録することで、端末へのデータの残留を防止することをいう。残留防止の対象とならないソフトウェアとは、例えば、オペレーティングシステムの更新ファイルや、セキュリティ対策ソフトウェアの更新ファイル、ウィルス定義ファイル等、セキュリティの観点上システムに残すことが好ましいソフトウェアである。これらの残留防止の対象とならないソフトウェアを識別する方法としては、本実施形態における、残留防止の対象とならないソフトウェアの情報が蓄積されるソフトウェア情報テーブル５０Ｂを用いる方法の他に、予めユーザ端末１ｃにおいて設定しておく方法や、管理サーバ１ｓに保持されるソフトウェア情報や制限モード定義情報に残留防止の対象とするか否かを判別するためのフラグを含ませる方法等が採用されてよい。その後、処理はステップＳ２１１へ進む。
【００６２】
ステップＳ２１１およびステップＳ２１２では、管理サーバ１ｓによってソフトウェア識別子５１が受信され、ソフトウェア本体が送信される。管理サーバ１ｓのソフトウェア送信部４５は、ユーザ端末１ｃより送信されたソフトウェア識別子５１を受信し（ステップＳ２１１）、受信されたソフトウェア識別子５１を検索キーとしてソフトウェア情報テーブル５０Ｂを検索することで、ユーザ端末１ｃより要求されたソフトウェアの本体が保存されている場所（ここでは、管理サーバ１ｓにおけるファイルパス５３）を取得する。そして、ソフトウェア蓄積部４６によって蓄積されているソフトウェア本体を読み出し、ユーザ端末１ｃへ送信する（ステップＳ２１２）。その後、処理はステップＳ２１３へ進む。
【００６３】
ステップＳ２１３では、ソフトウェア本体が受信される。ユーザ端末１ｃのソフトウェア受信部２８は、管理サーバ１ｓから送信されたソフトウェアを受信し、ＨＤＤ１３ｃに保存する。なお、ここで受信されたソフトウェアが保存されるＨＤＤ１３ｃ上の領域は、残留防止のために用いられる一時領域８２ではない。その後、処理はステップＳ２１４へ進む。
【００６４】
ステップＳ２１４およびステップＳ２１５では、制限モードフラグ８１が設定され、制限モード定義情報が保存される。制限モード設定部２４は、ＨＤＤ１３ｃ上の制限モードフラグ８１に、制限モードが有効であることを示す値を設定し（ステップＳ２１４）、ＨＤＤ１３ｃに、ステップＳ２０９で選択された制限モード定義情報（ステップＳ２０７で受信された制限モード定義情報が１つであった場合には、その制限モード定義情報）を保存する（ステップＳ２１５）。即ち、これらのステップでは、ユーザ端末１ｃの再起動後に用いる情報が、不揮発性記憶装置であるＨＤＤ１３ｃに記録される。これによって、ユーザ端末１ｃの再起動後も制限モードが継続され、また、再起動後に参照される制限モード定義情報が維持される。その後、処理はステップＳ２１６へ進む。
【００６５】
ステップＳ２１６およびステップＳ２１７では、ユーザ端末１ｃのオペレーティングシステムにおけるユーザ権限が変更され、ユーザ端末１ｃが再起動される。権限設定部２５は、次回起動時のユーザが、ユーザ端末１ｃへのソフトウェアのインストールやシステムへの変更を行う権限を有さないユーザ（以降、「制限ユーザ」と称する）となるように、オペレーティングシステムの設定を強制的に変更する（ステップＳ２１６）。より具体的には、権限設定部２５は、ユーザ端末１ｃのオペレーティングシステム起動用設定ファイル（レジストリ等）内のオペレーティングシステム起動時ログインユーザを、管理者権限を持たない制限ユーザへ強制的に書き換える。その後、システムの再起動が開始され（ステップＳ２１７）、本フローチャートに示された処理は終了する。
【００６６】
システムが再起動すると、再びステップＳ２０１からの処理が実行される。再起動したシステムは、制限ユーザで動作する。また、制限モードフラグ８１はステップＳ２１４で制限モードに設定されているため、ステップＳ２０２における判定処理では、制限モード
フラグ８１が制限モード有効を示す値に設定されていると判定される。
【００６７】
次に、図１０Ｂを参照して、ステップＳ２０２で制限モードフラグ８１が制限モード有効を示す値に設定されていると判定された場合の以降の処理の流れ、即ちシステムが制限モードで動作する場合の処理の流れを説明する。
【００６８】
ステップＳ２２１では、残留防止機能が有効化される。ユーザ端末１ｃの一時領域確保部２７は、ステップＳ２０２で制限モードフラグ８１が有効であると判断されたことを受けて、ＲＡＭ１２ｃ上の残留防止機能フラグに残留防止機能が有効であることを示す値を設定し、一時領域８２の確保および初期化を行うことで、残留防止機能を有効化する。残留防止機能フラグは、後述する残留防止処理において参照されることで、残留防止機能が有効であるか無効であるかを判定するための基準となる。また、一時領域８２は、一時領域８２のアドレスの書き込みアドレスを示すポインタを一時領域８２（図６を参照）の先頭アドレスとすることで初期化される。その後、処理はステップＳ２２２へ進む。
【００６９】
ステップＳ２２２では、ソフトウェア識別子５１が送信される。ユーザ端末１ｃのソフトウェア受信部２８は、ステップＳ２１５でＨＤＤ１３ｃに保存された制限モード定義情報のソフトウェアリスト７３に含まれるソフトウェアのうち、残留防止の対象となるソフトウェア、即ち、ユーザ端末１ｃの利用終了後に、ユーザ端末１ｃのＨＤＤ１３ｃ上に残されないソフトウェアの識別子を送信する。残留防止の対象となるソフトウェアを識別する方法としては、本実施形態における、残留防止の対象となるソフトウェアの情報が蓄積されるソフトウェア情報テーブル５０Ａを用いる方法の他に、予めユーザ端末１ｃにおいて設定しておく方法や、管理サーバ１ｓに保持されるソフトウェア情報や制限モード定義情報に残留防止の対象とするか否かを判別するためのフラグを含ませる方法等が採用されてよい。その後、処理はステップＳ２２３へ進む。
【００７０】
ステップＳ２２３およびステップＳ２２４では、管理サーバ１ｓによってソフトウェア識別子５１が受信され、ソフトウェア本体が送信される。処理の詳細はステップＳ２１１およびステップＳ２１２と概略同様であるため、説明を省略する。その後、処理はステップＳ２２５へ進む。
【００７１】
ステップＳ２２５では、ソフトウェア本体が受信される。ユーザ端末１ｃのソフトウェア受信部２８は、管理サーバ１ｓから送信されたソフトウェア本体を受信し、ステップＳ２２１で初期化された一時領域８２に保存する。即ち、ここで受信されたソフトウェア本体は、ユーザ端末１ｃの使用終了時または再起動時に、ユーザ端末１ｃから失われる。その後、処理はステップＳ２２６へ進む。
【００７２】
ステップＳ２２６およびステップＳ２２７では、ソフトウェアが起動され、制限モード離脱インターフェース１２０が表示される。ユーザ端末１ｃのソフトウェア実行部３１は、ステップＳ２１３およびステップＳ２２５で受信しＨＤＤ１３ｃに記録したソフトウェア本体を、ＲＡＭ１２ｃに読み出し、ＣＰＵ１１ｃに実行させることでソフトウェアを起動する（ステップＳ２２６）。即ち、この時点で、ソフトウェアの機能が情報処理端末を使用するユーザに提供され、ユーザはユーザ端末１ｃにおいて動作する各種ソフトウェアを用いて作業を行うことが可能となる。そして、ユーザ端末１ｃは、ユーザが制限モードでの作業を終了する際の終了操作を受け付けるための制限モード離脱インターフェース１２０をディスプレイ１６ｃに表示する（ステップＳ２２７）。その後、本フローチャートに示された処理は終了する。なお、制限モード離脱インターフェース１２０を起動するためのソフトウェアは、ソフトウェア情報テーブル５０Ａに登録され、ステップＳ２２５で受信されるソフトウェアであってもよい（以下、制限モード離脱インターフェース１２０を表示させるためのソフトウェアを「離脱インターフェース提供ソフトウェア」と称する
）。この場合、制限モード離脱インターフェース１２０は、ステップＳ２２６のソフトウェア起動処理において表示されるため、ステップＳ２２７の処理は不要となる。また、この場合、離脱インターフェース提供ソフトウェアは一時領域８２に記録され、ユーザ端末１ｃに残らない。このため、離脱インターフェース提供ソフトウェアを制限モード定義情報テーブル７０に登録するタイミングを調整することで、管理者は、制限モードから離脱可能な時期をコントロールすることが出来る。より具体的には、管理者は、ユーザ端末を常に制限モードで動作させたい時期には制限モード定義情報テーブル７０に離脱インターフェース提供ソフトウェアを登録しないことで、ユーザの故意または過失による不要な制限モード離脱や環境変更等を防止することが出来る。
【００７３】
図１２は、本実施形態においてディスプレイ１６ｃに表示される制限モード離脱インターフェース１２０のイメージを示す図である。制限モード離脱インターフェース１２０は、現在ユーザ端末１ｃのシステムが制限モードで動作していることを通知するメッセージ１２１と、非制限モードへ復帰する（制限モードを離脱する）ことを指示するための復帰ボタン１２２と、を有する。ユーザは、ユーザ端末１ｃに備えられたポインティングデバイス等の入力装置を操作して、復帰ボタン１２２をクリックすることで、制限モードでの作業を終了し、非制限モードへ移行することの指示を行う。
【００７４】
ステップＳ２２６におけるソフトウェアの起動以降、ユーザによる復帰ボタン１２２のクリックが検知されるまで、ユーザ端末１ｃは制限モード下で動作し、ユーザは、ユーザ端末１ｃにおいて起動された各種ソフトウェアを用いて作業を行うことが可能である。そして、本実施形態によれば、ユーザ端末１ｃのＯＳが制限ユーザで動作し、且つ残留防止機能が動作していることによって、ユーザによるソフトウェアのインストールやシステムへの変更が制限され、更に、作成または変更したデータが再起動後にＨＤＤ１３ｃに残留することが制限される。
【００７５】
図１３は、本実施形態における非制限モード移行処理の流れを示すフローチャートである。本フローチャートに示された処理は、ユーザによる非制限モードへの移行指示が検知されたことを契機として開始される。ユーザ端末１ｃは、上記制限モード離脱インターフェース１２０を介したユーザ操作に基づく非制限モードへの移行指示を受け付け（ステップＳ３０１）、ＨＤＤ１３ｃ上の制限モードフラグ８１に、制限モードが無効であることを示す値を設定する（ステップＳ３０２）。なお、制限モードフラグ８１への書き込みについては、残留防止機能によるアドレス変換が行われない。具体的には、後述する残留防止処理において、一時領域記録部２９は、書き込みアドレスが制限モードフラグ８１を示すアドレスである場合のみ、アドレス変換を行わずにＨＤＤ１３ｃへ書き込む。このようにすることで、残留防止機能が有効となっている状態でも、制限モードからの離脱を行うことを可能としている。
【００７６】
その後、ユーザ端末１ｃは再起動し（ステップＳ３０３）、上記ステップＳ２０１からの処理が実行される。このとき、ステップＳ２０２において制限モードフラグ８１が有効を示す値に設定されていないと判定されるため、処理はステップＳ２０３へ進み、以降、制限モードフラグ８１が有効に設定されるまで、システムは非制限モードで動作する。
【００７７】
なお、制限モードでは、ユーザが管理者権限を有さないユーザに変更されているが（ステップＳ２１６を参照）、ユーザ設定は、制限モード離脱後の再起動後に、ユーザ操作によって、または自動的に、変更前のユーザに戻されることとしてもよい。
【００７８】
図１４は、本実施形態における残留防止処理の流れを示すフローチャートである。本フローチャートに示された処理は、ＯＳによる、ＨＤＤ１３ｃからの読出アクセス、またはＨＤＤ１３ｃへの書込アクセスが発生したことを契機として開始される。
【００７９】
ステップＳ４０１およびステップＳ４０２では、ＯＳによるＨＤＤアクセスが横取りされ（フックされ）、残留防止機能フラグが有効に設定されているか否かが判定される。ユーザ端末１ｃの一時領域記録部２９は、ＯＳによるＨＤＤアクセスが発生すると、このアクセスを横取りし、ＲＡＭ１２ｃ上の残留防止機能フラグを参照する。ここで、残留防止機能フラグに残留防止機能が有効であることを示す値が設定されている場合、処理はステップＳ４０４へ進む。残留防止機能フラグに残留防止機能が有効であることを示す値が設定されていない場合、処理はステップＳ４０３へ進む。
【００８０】
ステップＳ４０３では、ＨＤＤ１３ｃへのアクセスが行われる。残留防止機能が有効でないため、一時領域記録部２９は、ＨＤＤ１３ｃへの通常の読出または書込アクセスを許可する。ここで読出または書込が行われるＨＤＤ１３ｃ上の領域は、一時領域８２以外の領域である。例えば、上述したステップＳ２１３において受信されたソフトウェア本体（オペレーティングシステムの更新ファイルや、セキュリティ対策ソフトウェアの更新ファイル、ウィルス定義ファイル等）のＨＤＤ１３ｃへの書込み処理は、残留防止機能が有効でない状態で行われるため、本ステップの処理に従って行われる。本ステップでＨＤＤ１３ｃに書込みされたデータは、制限モードの終了処理やユーザ端末１ｃの再起動によっても失われないため、システムの更新ファイル等、制限モードの有効無効に拘らず失われないことが好ましいデータは、残留防止機能フラグが有効となっていない状態でＨＤＤ１３ｃに書込みされることが好ましい。その後、本フローチャートに示された処理は終了する。
【００８１】
ステップＳ４０４では、アクセスの種類が判定される。一時領域記録部２９は、残留防止機能フラグが有効である場合、横取りされたアクセスの種類が書込みアクセスであるか否かを判定する。アクセスの種類が書込みアクセスである場合、処理はステップＳ４０５へ進む。アクセスの種類が書込みアクセスでない場合、処理はステップＳ４０７へ進む。
【００８２】
ステップＳ４０５およびステップＳ４０６では、一時領域８２への書込みが行われ、アドレス変換テーブル９０が更新される。一時領域記録部２９は、ＨＤＤ１３ｃ上に確保された一時領域８２のうち、書込アドレスポインタが示す書込みアドレスに、横取りされた書込アクセスに係るデータを記録する（ステップＳ４０５）。そして、変換情報蓄積部３０は、横取りされた書込みアクセスにおいてＯＳが示していた書込み先アドレス（変換元アドレス９１）と、実際にデータが書き込みされたアドレス（変換先アドレス９２）と、を関連付けてＲＡＭ１２ｃ上のアドレス変換テーブル９０に蓄積する（ステップＳ４０６）。ここで、変換先アドレス９２は、一時領域８２への書込み時に、書込アドレスポインタが示していたアドレスである。更に、一時領域記録部２９は、書き込みされたデータのサイズに従って、書込アドレスポインタを更新する。その後、本フローチャートに示された処理は終了する。
【００８３】
ステップＳ４０７からステップＳ４０９に示された処理は、残留防止機能が有効である場合の、ＨＤＤ１３ｃからの読出アクセス処理である。読出部３２は、オペレーティングシステムより横取りされた読出アクセスの読出アドレスに基づいてアドレス変換テーブル９０を検索することで、この読出しアドレスが、アドレス変換テーブル９０の変換元アドレス９１として登録されているか否か、即ち、オペレーティングシステムから要求されたデータが、一時領域８２に記録されているか否かを判定する（ステップＳ４０７）。ＯＳの示すアドレスがアドレス変換テーブル９０から抽出された場合、処理はステップＳ４０８へ進む。ＯＳの示すアドレスがアドレス変換テーブル９０から抽出されない場合、処理はステップＳ４０９へ進む。
【００８４】
ステップＳ４０８では、データが一時領域８２から読み出される。読出部３２は、ＯＳ
より要求されたデータを、ステップＳ４０７で抽出された変換先アドレス９２にアクセスすることで読み出す。即ち、本フローチャートに示す処理によれば、データの書込みおよび読出しが一時領域８２に対して行われていることをＯＳに意識させることなく、一時領域８２に対するデータの書込みおよび読出しを行うことができる。その後、本フローチャートに示された処理は終了する。
【００８５】
ステップＳ４０９では、データがＨＤＤ１３ｃから読み出される。読出部３２は、ＯＳより要求されたデータを、ＯＳより指示された読出アドレスにアクセスすることで読み出す。本ステップに係る読出し処理が行われるのは、制限モード下で記録されたデータを除くデータの読出し要求が行われた際である。その後、本フローチャートに示された処理は終了する。
【００８６】
ＯＳのＨＤＤ書込アクセスにおける書込先を一時領域８２に変換するためのアドレス変換テーブル９０は、ＲＡＭ１２ｃ上に確保されているため、再起動によって失われる。即ち、制限モード中にＨＤＤ１３ｃに書き込まれた情報は、再起動後に、記録位置（アドレス）が失われることによって、アクセス困難となる。このため、制限モード下で万一ウィルスに感染する、不適切なソフトウェアがインストールされる等の事態が発生した場合であっても、再起動後にＯＳはこれらのソフトウェアにアクセスすることが出来ず、システムは安全な状態に保たれる。更に、一時領域８２の書き込みアドレスを示すポインタが一時領域８２の先頭に初期化されることで（ステップＳ２２１）、既に一時領域８２に書き込まれた情報は、以降の一時領域８２への書き込みで上書きされ、ＨＤＤ１３ｃから書き込まれた情報自体を消すことができる。
【００８７】
なお、ＯＳのファイル管理テーブルを参照せずにＨＤＤ１３ｃ上の情報を直接参照する等の方法で制限モード下において書き込まれた情報が取得されてしまうことを防止するために、制限モード下でＨＤＤ１３ｃに書き込まれる情報を暗号化する方法や、制限モード下でＨＤＤ１３ｃに書き込まれた情報をランダムな情報で上書きする方法等が採られてもよい。
【００８８】
より具体的には、一時領域８２へ書き込まれる情報を暗号化し、一時領域８２から読み出される情報を復号する暗号処理部（図示は省略する）を介することで、鍵情報が設定された暗号処理部を介さずにＨＤＤ１３ｃ上の情報を直接参照する方法では情報の内容を知ることが出来ないようにすることが可能である。このとき、暗号化に用いられる暗号鍵は、ユーザによって管理されてもよいし、制限モードに移行するごとに自動生成され、制限モード終了時に破棄されることとしてもよい。制限モード移行ごとに自動生成して制限モード終了時に破棄する方法によれば、ユーザは暗号鍵の管理を意識する必要が無く、制限モード離脱時には制限モード下で一時領域８２に書き込まれた情報の取得を非常に困難にすることが可能である。
【００８９】
本実施形態にかかる情報処理端末および管理サーバ１ｓによれば、ＯＳに対して機能制限を行い、プログラムおよびデータを囲い込む一時領域８２を用いることで、高いセキュリティを実現し、更に、仮想マシン手法やシンクライアント手法に比べて仮想化やＯＳのダウンロード等に伴うリソース消費を抑制することで、高いセキュリティと高速なオーバーヘッドとを両立させることが可能である。より具体的には、本実施形態によれば、管理者が用意すべきイメージは、管理サーバ１ｓに蓄積されるソフトウェアのイメージのみである。このため、本実施形態に係るシステムは、ソフトウェアのイメージに加えてＯＳのイメージを用意する必要がある仮想マシン手法やシンクライアント手法に比べて、記憶領域や帯域等のリソース面、ＯＳの設定に必要な負荷の面で有利である。また、仮想マシン処理を介さないため、仮想マシン手法に比べて処理も軽く、快適な作業環境を用意に構築することが可能である。特に、一時領域８２は断片化されていない連続的記憶領域である
ため、本実施形態の制限モードは、断片化されたＨＤＤにアクセスする一般の環境に比べても、全体として高速に動作する。
【００９０】
＜第二の実施形態＞
上記した第一の実施形態では、離脱インターフェース１２０を起動するための離脱インターフェース提供ソフトウェアを、ソフトウェア情報テーブル５０Ａに登録されることで一時領域８２に記録されて実行されるソフトウェアの一つとし、離脱インターフェース提供ソフトウェア制限モード定義情報テーブル７０に登録するタイミングを調整することで、制限モードから離脱可能な時期を管理者が制御することが説明されている。ここで、第二の実施形態では、ユーザの故意や過失による、好ましくない制限モード離脱や環境変更等を防止するために、離脱インターフェース提供ソフトウェアの提供時期をより詳細に制御する場合の実施の形態について説明する。なお、本実施形態に係るユーザ端末管理システムの構成は、第一の実施形態において説明したユーザ端末管理システムと概略同様であるため、以下では、主として第一の実施形態と異なる部分についてのみ説明し、第一の実施形態と同様の構成については、同一の符号を用いて説明する。
【００９１】
図１５は、第二の実施形態における制限モード定義情報テーブル１７０の構成を示す図である。制限モード定義情報テーブル１７０に蓄積される制限モード定義情報には、第一の実施形態において用いられる制限モード定義情報が含む制限モード識別子７１、制限モード名称７２、ソフトウェアリスト７３、認証リスト７４、および制限モード有効期限７５に加えて、ソフトウェア条件リスト７６が含まれる。ソフトウェア条件リスト７６は、ソフトウェアリスト７３に挙げられたソフトウェアの配信条件を定める条件情報の識別子（以下、条件識別子１５４と称する）が１または複数設定されたリストである。ユーザは、提示された複数種類の制限モード定義情報から、所望の制限モード定義情報を選択することで、この定義情報に応じた作業環境の提供を受けることが出来る。
【００９２】
図１６は、第二の実施形態における条件情報テーブル１５０の構成を示す図である。条件情報テーブル１５０には、条件識別子１５４と、具体的な条件を定義する条件１５５と、を含む条件情報が蓄積される。管理サーバ１ｓは、制限モードまたは配信対象のソフトウェアに対して条件が設定されている場合、条件識別子１５４を用いて条件情報を特定し、現在の状態がこの条件１５５に合致するか否かを判定することで、ソフトウェアの配信可否等を判断する。
【００９３】
条件１５５に設定される具体的な内容は、特に制限されない。例えば、配信可能期間の他にも、ユーザ端末１ｃを特定する特定情報、配信可能なユーザ端末のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレス、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス、ユーザ端末１ｃの位置情報、等を条件１５５に設定することが出来る。図１６に示された例では、ｃｏｎｄｉｔｉｏｎ１には、現在時刻が２００７年５月２日２３時００分より後であり且つ２００７年５月３日２３時００分より前であることが条件として設定されており、ｃｏｎｄｉｔｉｏｎ２には、ユーザ端末のＭＡＣアドレスが、ＡＡ−ＢＢ−ＣＣ−ＤＤ−ＥＥ−００より後であり且つＡＡ−ＢＢ−ＣＣ−ＤＤ−ＥＥ−ＦＦより前であることが条件式の形式で設定されている。また、条件１５５には、複数の異なる種類の条件式と共に、条件式同士のＡＮＤ（論理積）やＯＲ（論理和）を設定することとしてもよい。複数種類の情報をＡＮＤやＯＲで組み合わせて判断することで、より複雑な条件１５５を設定することが可能である。
【００９４】
本実施形態においても、制限モード定義情報は、第一の実施形態の説明において、図８のフローチャートを示して説明した処理と同様の処理で作成される。但し、本実施形態では、図８に示したステップＳ１０４に相当する処理において、管理サーバ１ｓは、制限モードの名称、ソフトウェア、認証情報および有効期限に加えて、ソフトウェア配信条件の
入力または選択を受け付ける。ソフトウェア配信条件が新たに入力されると、管理サーバ１ｓは、入力された内容に従った条件情報を生成して条件識別子１５４を設定して条件情報テーブルに蓄積する。また、管理者は、条件識別子１５４や条件情報の名称等を選択することで、既に条件情報テーブルに蓄積されている条件情報から、適切な条件情報を選択することが出来る。
【００９５】
管理サーバ１ｓは、入力または選択された情報を、制限モード名称７２、ソフトウェアリスト７３、ソフトウェア条件リスト７６、認証リスト７４および制限モード有効期限７５として含む制限モード定義情報を作成し、制限モード定義情報テーブル１７０に蓄積する。
【００９６】
次に、本実施形態における、制限モード制御処理の流れを説明する。ユーザ端末１ｃの起動から、制限モードフラグ８１が有効でない場合に、制限モードフラグ８１が有効化されて再起動するまでの処理（ステップＳ２０１からステップＳ２１７までの処理）、および再起動から、残留防止機能が有効化されるまでの処理（ステップＳ２０１、Ｓ２０２、およびＳ２２１）の流れは、図１０Ａおよび図１０Ｂを用いて説明した第一の実施形態と概略同様であるため、説明を省略する。
【００９７】
図１７は、第二の実施形態における制限モード制御処理の流れを示すフローチャートである。なお、上述の通り、制限モード制御処理のうち、ユーザ端末１ｃの起動から制限モードフラグ８１が有効化されて再起動するまでの処理の流れについては、図１０Ａに示したものと概略同様であるため、図示を省略する。図１７には、制限モード制御処理のうち、図１０Ａに示した端子Ｂ以降の処理の流れを示す。
【００９８】
ステップＳ２２２ｂでは、ユーザ端末１ｃによって制限モード識別子７１が送信される。ユーザ端末１ｃのソフトウェア受信部２８は、ＨＤＤ１３ｃに保存された制限モード定義情報の制限モード識別子７１を、管理サーバ１ｓに対して送信する。その後、処理はステップＳ２２３ｂへ進む。
【００９９】
ステップＳ２２３ｂおよびステップＳ２２４ｂでは、管理サーバ１ｓによって制限モード識別子７１が受信され、ソフトウェア本体の送信可否が判断される。管理サーバ１ｓのソフトウェア送信部４５は、ユーザ端末１ｃより送信された制限モード識別子７１を受信し（ステップＳ２２３ｂ）、受信された制限モード識別子７１を検索キーとして制限モード定義情報テーブル１７０を検索することで、ユーザ端末１ｃより要求された制限モードで配信されるソフトウェアリスト７３を取得する。更に、ソフトウェア送信部４５は、受信された制限モード識別子７１を検索キーとして制限モード定義情報テーブル１７０を検索することで、制限モードで配信されるソフトウェアの配信条件であるソフトウェア条件リスト７６を取得する。そして、取得されたソフトウェア条件リスト７６に挙げられている条件識別子１５４に基づいて条件情報テーブル１５０を検索することで、条件を取得し、現在の状態が取得された条件を満たすか否かを判定する（ステップＳ２２４ｂ）。即ち、本実施形態では、ユーザ端末１ｃより要求されたソフトウェアを、このユーザ端末１ｃへ送信することの可否が判断される。
【０１００】
図１５および図１６に示した例によれば、管理サーバ１ｓは、制限モード識別子７１としてｉｎｓｔａｎｃｅ１を受信すると、対応するソフトウェアリスト７３、およびソフトウェア条件リスト７６を取得する。このソフトウェア条件リスト７６には、離脱インターフェース提供ソフトウェア（ｓｅｒｖｉｃｅ６）の送信可否を判断するための条件情報の識別子１５４であるｃｏｎｄｉｔｉｏｎ１が含まれている（図１５を参照）。このため、ソフトウェア送信部４５は、識別子１５４がｃｏｎｄｉｔｉｏｎ１である条件情報を参照し（図１６を参照）、現在時刻が２００７年５月２日２３時００分より後であり且つ２０
０７年５月３日２３時００分より前であるか否かを判定する。条件判断によって、ソフトウェアの送信が可であると判断された場合、処理はステップＳ２２４ｃへ進む。ソフトウェアの送信が不可であると判断された場合、処理はステップＳ２２４ｄへ進む。
【０１０１】
ステップＳ２２４ｄでは、ユーザ端末１ｃより要求されたソフトウェアの全てについて送信可否が判断され、送信可であるソフトウェアの送信が全て完了したか否かが判断される。全ての送信可ソフトウェアの送信が完了したと判断された場合、本フローチャートに示された処理は終了する。送信可否が未だ判断されていないソフトウェアがあり、送信可であるソフトウェアの送信が全て完了していない場合、処理はステップＳ２２４ｂへ進む。即ち、ステップＳ２２４ｂからステップＳ２２４ｄに示された処理は、全ての送信可ソフトウェアの送信が完了するまで繰り返し実行される。
【０１０２】
ステップＳ２２４ｃでは、管理サーバ１ｓによってソフトウェア本体が送信される。管理サーバ１ｓのソフトウェア送信部４５は、ステップＳ２２４ｂで送信可と判断されたソフトウェアのソフトウェア識別子５１を検索キーとしてソフトウェア情報テーブル５０Ａを検索することで、送信対象のソフトウェアの本体が保存されている場所を取得する。そして、ソフトウェア蓄積部４６によって蓄積されているソフトウェア本体を読み出し、ユーザ端末１ｃへ送信する。その後、処理はステップＳ２２５へ進む。
【０１０３】
ステップＳ２２５およびステップＳ２２６では、ソフトウェア本体が受信され、起動される。ユーザ端末１ｃのソフトウェア受信部２８は、管理サーバ１ｓから送信されたソフトウェア本体を受信し、ステップＳ２２１で初期化された一時領域８２に保存する（ステップＳ２２５）。そして、ユーザ端末１ｃのソフトウェア実行部３１は、ステップＳ２１３およびステップＳ２２５で受信しＨＤＤ１３ｃに記録したソフトウェア本体を、ＲＡＭ１２ｃに読み出し、ＣＰＵ１１ｃに実行させることでソフトウェアを起動する（ステップＳ２２６）。その後、本フローチャートに示された処理は終了する。
【０１０４】
なお、本実施形態では、離脱インターフェース提供ソフトウェアは、ソフトウェア情報テーブル５０Ａに登録され、ステップＳ２２５で受信されるソフトウェアであるため、制限モード離脱インターフェース１２０は、ステップＳ２２６のソフトウェア起動処理において表示される。このため、本実施形態では、第一の実施形態で説明したステップＳ２２７の処理は不要である。
【０１０５】
本実施形態に示したユーザ端末管理システムによれば、柔軟な条件設定により、ユーザ端末１ｃの制限モードからの離脱可否を制御することが可能となり、更には、ユーザの故意や過失による、好ましくない制限モード離脱や環境変更等を防止することが可能となる。
【０１０６】
＜その他の実施形態＞
図１８は、その他の実施形態におけるソフトウェア情報テーブル５０Ｃの構成を示す図である。上記第二の実施形態において図１５を用いて説明した例では、制限モード識別子７１各々に定義されたソフトウェアリスト７３に対しソフトウェア条件リスト７６を設定することで同じソフトウェアを個々の制限モード毎に異なる時間帯で提供できる構成としていた。これに対して、図１８に示すように、ソフトウェア識別子５１毎にソフトウェア条件リスト５４を設定する構成とすると、ソフトウェア条件リスト５４を変更するだけで、ソフトウェア毎にサービス提供時間を一括して変更することが可能となる。このような実施形態によれば、何れの制限モードにおいても、同じ時間帯で離脱インターフェース提供ソフトウェアを提供する構成とすることが出来る。
【０１０７】
図１９は、その他の実施形態における制限モード定義情報テーブル２７０の構成を示す
図である。図１９に示した例では、認証リスト７４毎に認証条件リスト７７が設定される。管理サーバ１ｓの識別情報受信部４２は、利用者の認証が行われるステップＳ２０４において、受信した認証情報が認証条件リスト７７に挙げられた条件情報を満足するか否かを判定し、条件を満足する場合のみ後段の処理（ステップＳ２０５以降の処理）に進む。なお、ここで評価される認証のための条件情報は、図１６に示した条件情報テーブル１５０に、ソフトウェア配信の可否を判断するための条件情報と共に蓄積されてもよい。この構成によれば、制限モード識別子７１に定義された利用者グループ単位の認証に加え、利用者個別の認証条件を設定することが出来る。
【０１０８】
なお、上記第二の実施形態において図１５を用いて説明した例では、制限モード毎に制限モード有効期限７５を設定することで、制限モードの利用可能期限（寿命）を与える構成としていた。これに代えて、図１９に示した例では、制限モード条件リスト７８が制限モード毎に設けられる。そして、管理サーバ１ｓの識別情報受信部４２は、ステップ２０４において、認証情報と共に、または認証情報に含まれた形で、ユーザ端末を特定する特定情報を受信して、受信した特定情報が制限モード条件リスト７８に挙げられた条件情報を満足するか否かを判定し、条件を満足する場合のみ後段の処理（ステップＳ２０５以降の処理）に進む。ここで、ユーザ端末を特定する特定情報とは、例えば、ユーザ端末のＭＡＣアドレスや、ユーザ端末に割り当てられたＩＰアドレス、ユーザ端末１ｃに備えられたＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）で取得された位置情報等である。この構成によれば、制限モードの利用可能期限だけではなく、例えばユーザ端末１ｃのＭＡＣアドレスやＩＰアドレス、位置情報等、ユーザ端末を特定する情報に基づく利用制限を設定することが出来る。
【０１０９】
例えば、ユーザ端末１ｃの位置情報がＧＰＳ等によって取得された緯度経度情報である場合、ユーザ端末１ｃは、緯度経度情報を取得する機能を備え、取得した緯度経度情報を、認証情報と共に、または認証情報に含めて管理サーバ１ｓへ送信する。対応する条件情報（図１９のｃｏｎｄｉｔｉｏｎα）の条件１５５には、緯度経度の範囲が設定されており、例えば、設定された緯度経度の範囲にユーザ端末１ｃがある場合にのみ、管理サーバ１ｓは離脱インターフェース提供ソフトウェアを配信する。
【０１１０】
また、例えば、インターネット接続プロバイダやＤＨＣＰサーバ（ローカルエリアネットワーク内のＩＰアドレス自動割り当てサーバ）等によってユーザ端末１ｃに割り当てられたＩＰアドレス情報を、認証情報と共に、または認証情報に含めて管理サーバ１ｓへ送信することとしてもよい。この場合、対応する条件情報（図１９のｃｏｎｄｉｔｉｏｎα）の条件１５５には、ＩＰアドレスの範囲が設定されており、例えば、設定されたＩＰアドレスの範囲にユーザ端末１ｃがある場合にのみ、管理サーバ１ｓは離脱インターフェース提供ソフトウェアを配信する。
【符号の説明】
【０１１１】
１ ユーザ端末管理システム
１ｓ 管理サーバ
１ｃ 情報処理端末
２１ 識別情報送信部
２２ 制限モード定義情報受信部
２４ 制限モード設定部
２５ 権限設定部
２６ 判定部
２７ 一時領域確保部
２８ ソフトウェア受信部
２９ 一時領域記録部
３０ 変換情報蓄積部
３１ ソフトウェア実行部
４１ 認証部
４２ 識別情報受信部
４３ 制限モード定義情報送信部
４５ ソフトウェア送信部
【特許請求の範囲】
【請求項１】
不揮発性記憶装置を有し、管理サーバと通信可能に接続された情報処理端末であって、
前記不揮発性記憶装置における一部の領域を、該情報処理端末の起動または終了に際して初期化される一時領域として確保する一時領域確保手段と、
該情報処理端末を使用するユーザまたは該情報処理端末を、識別するための識別情報を前記管理サーバに送信する識別情報送信手段と、
前記識別情報に係る情報処理端末またはユーザに応じたソフトウェアを、前記識別情報を受信した前記管理サーバから受信するソフトウェア受信手段と、
前記ソフトウェア受信手段によって受信されたソフトウェアを前記一時領域に記録する一時領域記録手段と、
前記ソフトウェアを前記一時領域から読み出して実行することで、該ソフトウェアの機能を、前記情報処理端末を使用するユーザに提供するソフトウェア実行手段と、
を備える、情報処理端末。
【請求項２】
前記識別情報に係る情報処理端末に所定の作業環境を構築するためのソフトウェアの組み合わせ、または前記識別情報に係るユーザに所定のサービスを提供するためのソフトウェアの組み合わせ、を示すソフトウェアのリストを、前記識別情報を受信した前記管理サーバから受信するソフトウェアリスト受信手段と、
前記ソフトウェアリスト受信手段によって受信された１または複数のリストをユーザに提示し、ユーザによるリストの選択を受け付ける受付手段と、
を更に備え、
前記ソフトウェア受信手段は、前記選択されたリストに含まれるソフトウェアを前記サーバから受信する、
請求項１に記載の情報処理端末。
【請求項３】
前記情報処理端末は、揮発性記憶装置を更に有し、
前記一時領域記録手段は、該情報処理端末のオペレーティングシステムによる前記不揮発性記憶装置への書き込みアクセスを横取りし、該書き込みアクセスの書き込み先アドレスを前記一時領域内のアドレスへ変換することで、前記ソフトウェア受信手段によって受信されたソフトウェアを前記一時領域に記録し、
前記変換された書き込みアクセスの変換前のアドレスと変換後のアドレスとの対応関係を示す変換情報を、前記揮発性記憶装置に蓄積する変換情報蓄積手段を更に備える、
請求項１または２に記載の情報処理端末。
【請求項４】
前記一時領域は、該情報処理端末の起動または終了に際して前記揮発性記憶装置に蓄積された変換情報が失われることで初期化される、
請求項３に記載の情報処理端末。
【請求項５】
ユーザによって使用される情報処理端末であるユーザ端末と通信可能に接続された管理サーバであって、
前記ユーザ端末または該ユーザ端末を使用するユーザを識別するための識別情報を前記ユーザ端末より受信する識別情報受信手段と、
前記識別情報に係るユーザ端末またはユーザに応じたソフトウェアを、該ユーザ端末に送信して、前記ユーザ端末の起動または終了に際して初期化される一時領域に保存させるソフトウェア送信手段と、
を備える、管理サーバ。
【請求項６】
前記識別情報に係る情報処理端末に所定の作業環境を構築するためのソフトウェアの組み合わせ、または前記識別情報に係るユーザに所定のサービスを提供するためのソフトウ
ェアの組み合わせ、を示すソフトウェアのリストを蓄積するソフトウェアリスト蓄積手段と、
前記識別情報に係る情報処理端末またはユーザに応じた前記リストを送信するソフトウェアリスト送信手段と、
を更に備え、
前記ソフトウェア送信手段は、前記ソフトウェアリスト送信手段によって送信された１または複数のリストのうちの、前記ユーザ端末において選択されたリストに基づいて該ユーザ端末より要求されたソフトウェアを、該ユーザ端末に送信する、
請求項５に記載の管理サーバ。
【請求項７】
前記リストは、該リストの有効期限を示す情報に関連付けて蓄積され、
前記ソフトウェアリスト送信手段は、前記識別情報に係る情報処理端末またはユーザに応じた前記リストのうち、有効期限内にある前記リストのみを送信する、
請求項６に記載の管理サーバ。
【請求項８】
前記識別情報受信手段によって受信された識別情報を用いて前記ユーザ端末または該ユーザ端末を使用するユーザを認証する認証手段を更に備え、
前記ソフトウェア送信手段は、認証されたユーザ端末またはユーザに関連付けられたソフトウェアを送信する、
請求項５から７の何れか一項に記載の管理サーバ。
【請求項９】
不揮発性記憶装置を有し、管理サーバと通信可能に接続された情報処理端末が、
前記不揮発性記憶装置における一部の領域を、該情報処理端末の起動または終了に際して初期化される一時領域として確保する一時領域確保ステップと、
該情報処理端末を使用するユーザまたは該情報処理端末を、識別するための識別情報を前記管理サーバに送信する識別情報送信ステップと、
前記識別情報に係る情報処理端末またはユーザに応じたソフトウェアを、前記識別情報を受信した前記管理サーバから受信するソフトウェア受信ステップと、
前記ソフトウェア受信ステップで受信されたソフトウェアを前記一時領域に記録する一時領域記録ステップと、
前記ソフトウェアを前記一時領域から読み出して実行することで、該ソフトウェアの機能を、前記情報処理端末を使用するユーザに提供するソフトウェア実行ステップと、
を実行する、情報処理方法。
【請求項１０】
前記情報処理端末は、
前記識別情報に係る情報処理端末に所定の作業環境を構築するためのソフトウェアの組み合わせ、または前記識別情報に係るユーザに所定のサービスを提供するためのソフトウェアの組み合わせ、を示すソフトウェアのリストを、前記識別情報を受信した前記管理サーバから受信するソフトウェアリスト受信ステップと、
前記ソフトウェアリスト受信ステップで受信された１または複数のリストをユーザに提示し、ユーザによるリストの選択を受け付ける受付ステップと、
を更に実行し、
前記ソフトウェア受信ステップでは、前記選択されたリストに含まれるソフトウェアが前記サーバから受信される、
請求項９に記載の情報処理方法。
【請求項１１】
ユーザによって使用される情報処理端末であるユーザ端末と通信可能に接続された管理サーバが、
前記ユーザ端末または該ユーザ端末を使用するユーザを識別するための識別情報を前記ユーザ端末より受信する識別情報受信ステップと、
前記識別情報に係るユーザ端末またはユーザに応じたソフトウェアを、該ユーザ端末に送信して、前記ユーザ端末の起動または終了に際して初期化される一時領域に保存させるソフトウェア送信ステップと、
を実行する、情報処理端末の管理方法。
【請求項１２】
前記管理サーバは、
前記識別情報に係る情報処理端末に所定の作業環境を構築するためのソフトウェアの組み合わせ、または前記識別情報に係るユーザに所定のサービスを提供するためのソフトウェアの組み合わせ、を示すソフトウェアのリストを蓄積するソフトウェアリスト蓄積ステップと、
前記識別情報に係る情報処理端末またはユーザに応じた前記リストを送信するソフトウェアリスト送信ステップと、
を更に実行し、
前記ソフトウェア送信ステップでは、前記ソフトウェアリスト送信ステップで送信された１または複数のリストのうちの、前記ユーザ端末において選択されたリストに基づいて該ユーザ端末より要求されたソフトウェアが、該ユーザ端末に送信される、
請求項１１に記載の管理方法。
【請求項１３】
不揮発性記憶装置を有し、管理サーバと通信可能に接続された情報処理端末を、
前記不揮発性記憶装置における一部の領域を、該情報処理端末の起動または終了に際して初期化される一時領域として確保する一時領域確保手段と、
該情報処理端末を使用するユーザまたは該情報処理端末を、識別するための識別情報を前記管理サーバに送信する識別情報送信手段と、
前記識別情報に係る情報処理端末またはユーザに応じたソフトウェアを、前記識別情報を受信した前記管理サーバから受信するソフトウェア受信手段と、
前記ソフトウェア受信手段によって受信されたソフトウェアを前記一時領域に記録する一時領域記録手段と、
前記ソフトウェアを前記一時領域から読み出して実行することで、該ソフトウェアの機能を、前記情報処理端末を使用するユーザに提供するソフトウェア実行手段と、
として機能させる、情報処理プログラム。
【請求項１４】
前記情報処理端末を、
前記識別情報に係る情報処理端末に所定の作業環境を構築するためのソフトウェアの組み合わせ、または前記識別情報に係るユーザに所定のサービスを提供するためのソフトウェアの組み合わせ、を示すソフトウェアのリストを、前記識別情報を受信した前記管理サーバから受信するソフトウェアリスト受信手段と、
前記ソフトウェアリスト受信手段によって受信された１または複数のリストをユーザに提示し、ユーザによるリストの選択を受け付ける受付手段と、
を更に機能させ、
前記ソフトウェア受信手段は、前記選択されたリストに含まれるソフトウェアを前記サーバから受信する、
請求項１３に記載の情報処理プログラム。
【請求項１５】
ユーザによって使用される情報処理端末であるユーザ端末と通信可能に接続された管理サーバを、
前記ユーザ端末または該ユーザ端末を使用するユーザを識別するための識別情報を前記ユーザ端末より受信する識別情報受信手段と、
前記識別情報に係るユーザ端末またはユーザに応じたソフトウェアを、該ユーザ端末に送信して、前記ユーザ端末の起動または終了に際して初期化される一時領域に保存させるソフトウェア送信手段と、
として機能させる、情報処理端末の管理プログラム。
【請求項１６】
前記管理サーバを、
前記識別情報に係る情報処理端末に所定の作業環境を構築するためのソフトウェアの組み合わせ、または前記識別情報に係るユーザに所定のサービスを提供するためのソフトウェアの組み合わせ、を示すソフトウェアのリストを蓄積するソフトウェアリスト蓄積手段と、
前記識別情報に係る情報処理端末またはユーザに応じた前記リストを送信するソフトウェアリスト送信手段と、
として更に機能させ、
前記ソフトウェア送信手段は、前記ソフトウェアリスト送信手段によって送信された１または複数のリストのうちの、前記ユーザ端末において選択されたリストに基づいて該ユーザ端末より要求されたソフトウェアを、該ユーザ端末に送信する、
請求項１５に記載の管理プログラム。
【請求項１】
不揮発性記憶装置を有し、管理サーバと通信可能に接続された情報処理端末であって、
前記不揮発性記憶装置における一部の領域を、該情報処理端末の起動または終了に際して初期化される一時領域として確保する一時領域確保手段と、
該情報処理端末を使用するユーザまたは該情報処理端末を、識別するための識別情報を前記管理サーバに送信する識別情報送信手段と、
前記識別情報に係る情報処理端末またはユーザに応じたソフトウェアを、前記識別情報を受信した前記管理サーバから受信するソフトウェア受信手段と、
前記ソフトウェア受信手段によって受信されたソフトウェアを前記一時領域に記録する一時領域記録手段と、
前記ソフトウェアを前記一時領域から読み出して実行することで、該ソフトウェアの機能を、前記情報処理端末を使用するユーザに提供するソフトウェア実行手段と、
を備える、情報処理端末。
【請求項２】
前記識別情報に係る情報処理端末に所定の作業環境を構築するためのソフトウェアの組み合わせ、または前記識別情報に係るユーザに所定のサービスを提供するためのソフトウェアの組み合わせ、を示すソフトウェアのリストを、前記識別情報を受信した前記管理サーバから受信するソフトウェアリスト受信手段と、
前記ソフトウェアリスト受信手段によって受信された１または複数のリストをユーザに提示し、ユーザによるリストの選択を受け付ける受付手段と、
を更に備え、
前記ソフトウェア受信手段は、前記選択されたリストに含まれるソフトウェアを前記サーバから受信する、
請求項１に記載の情報処理端末。
【請求項３】
前記情報処理端末は、揮発性記憶装置を更に有し、
前記一時領域記録手段は、該情報処理端末のオペレーティングシステムによる前記不揮発性記憶装置への書き込みアクセスを横取りし、該書き込みアクセスの書き込み先アドレスを前記一時領域内のアドレスへ変換することで、前記ソフトウェア受信手段によって受信されたソフトウェアを前記一時領域に記録し、
前記変換された書き込みアクセスの変換前のアドレスと変換後のアドレスとの対応関係を示す変換情報を、前記揮発性記憶装置に蓄積する変換情報蓄積手段を更に備える、
請求項１または２に記載の情報処理端末。
【請求項４】
前記一時領域は、該情報処理端末の起動または終了に際して前記揮発性記憶装置に蓄積された変換情報が失われることで初期化される、
請求項３に記載の情報処理端末。
【請求項５】
ユーザによって使用される情報処理端末であるユーザ端末と通信可能に接続された管理サーバであって、
前記ユーザ端末または該ユーザ端末を使用するユーザを識別するための識別情報を前記ユーザ端末より受信する識別情報受信手段と、
前記識別情報に係るユーザ端末またはユーザに応じたソフトウェアを、該ユーザ端末に送信して、前記ユーザ端末の起動または終了に際して初期化される一時領域に保存させるソフトウェア送信手段と、
を備える、管理サーバ。
【請求項６】
前記識別情報に係る情報処理端末に所定の作業環境を構築するためのソフトウェアの組み合わせ、または前記識別情報に係るユーザに所定のサービスを提供するためのソフトウ
ェアの組み合わせ、を示すソフトウェアのリストを蓄積するソフトウェアリスト蓄積手段と、
前記識別情報に係る情報処理端末またはユーザに応じた前記リストを送信するソフトウェアリスト送信手段と、
を更に備え、
前記ソフトウェア送信手段は、前記ソフトウェアリスト送信手段によって送信された１または複数のリストのうちの、前記ユーザ端末において選択されたリストに基づいて該ユーザ端末より要求されたソフトウェアを、該ユーザ端末に送信する、
請求項５に記載の管理サーバ。
【請求項７】
前記リストは、該リストの有効期限を示す情報に関連付けて蓄積され、
前記ソフトウェアリスト送信手段は、前記識別情報に係る情報処理端末またはユーザに応じた前記リストのうち、有効期限内にある前記リストのみを送信する、
請求項６に記載の管理サーバ。
【請求項８】
前記識別情報受信手段によって受信された識別情報を用いて前記ユーザ端末または該ユーザ端末を使用するユーザを認証する認証手段を更に備え、
前記ソフトウェア送信手段は、認証されたユーザ端末またはユーザに関連付けられたソフトウェアを送信する、
請求項５から７の何れか一項に記載の管理サーバ。
【請求項９】
不揮発性記憶装置を有し、管理サーバと通信可能に接続された情報処理端末が、
前記不揮発性記憶装置における一部の領域を、該情報処理端末の起動または終了に際して初期化される一時領域として確保する一時領域確保ステップと、
該情報処理端末を使用するユーザまたは該情報処理端末を、識別するための識別情報を前記管理サーバに送信する識別情報送信ステップと、
前記識別情報に係る情報処理端末またはユーザに応じたソフトウェアを、前記識別情報を受信した前記管理サーバから受信するソフトウェア受信ステップと、
前記ソフトウェア受信ステップで受信されたソフトウェアを前記一時領域に記録する一時領域記録ステップと、
前記ソフトウェアを前記一時領域から読み出して実行することで、該ソフトウェアの機能を、前記情報処理端末を使用するユーザに提供するソフトウェア実行ステップと、
を実行する、情報処理方法。
【請求項１０】
前記情報処理端末は、
前記識別情報に係る情報処理端末に所定の作業環境を構築するためのソフトウェアの組み合わせ、または前記識別情報に係るユーザに所定のサービスを提供するためのソフトウェアの組み合わせ、を示すソフトウェアのリストを、前記識別情報を受信した前記管理サーバから受信するソフトウェアリスト受信ステップと、
前記ソフトウェアリスト受信ステップで受信された１または複数のリストをユーザに提示し、ユーザによるリストの選択を受け付ける受付ステップと、
を更に実行し、
前記ソフトウェア受信ステップでは、前記選択されたリストに含まれるソフトウェアが前記サーバから受信される、
請求項９に記載の情報処理方法。
【請求項１１】
ユーザによって使用される情報処理端末であるユーザ端末と通信可能に接続された管理サーバが、
前記ユーザ端末または該ユーザ端末を使用するユーザを識別するための識別情報を前記ユーザ端末より受信する識別情報受信ステップと、
前記識別情報に係るユーザ端末またはユーザに応じたソフトウェアを、該ユーザ端末に送信して、前記ユーザ端末の起動または終了に際して初期化される一時領域に保存させるソフトウェア送信ステップと、
を実行する、情報処理端末の管理方法。
【請求項１２】
前記管理サーバは、
前記識別情報に係る情報処理端末に所定の作業環境を構築するためのソフトウェアの組み合わせ、または前記識別情報に係るユーザに所定のサービスを提供するためのソフトウェアの組み合わせ、を示すソフトウェアのリストを蓄積するソフトウェアリスト蓄積ステップと、
前記識別情報に係る情報処理端末またはユーザに応じた前記リストを送信するソフトウェアリスト送信ステップと、
を更に実行し、
前記ソフトウェア送信ステップでは、前記ソフトウェアリスト送信ステップで送信された１または複数のリストのうちの、前記ユーザ端末において選択されたリストに基づいて該ユーザ端末より要求されたソフトウェアが、該ユーザ端末に送信される、
請求項１１に記載の管理方法。
【請求項１３】
不揮発性記憶装置を有し、管理サーバと通信可能に接続された情報処理端末を、
前記不揮発性記憶装置における一部の領域を、該情報処理端末の起動または終了に際して初期化される一時領域として確保する一時領域確保手段と、
該情報処理端末を使用するユーザまたは該情報処理端末を、識別するための識別情報を前記管理サーバに送信する識別情報送信手段と、
前記識別情報に係る情報処理端末またはユーザに応じたソフトウェアを、前記識別情報を受信した前記管理サーバから受信するソフトウェア受信手段と、
前記ソフトウェア受信手段によって受信されたソフトウェアを前記一時領域に記録する一時領域記録手段と、
前記ソフトウェアを前記一時領域から読み出して実行することで、該ソフトウェアの機能を、前記情報処理端末を使用するユーザに提供するソフトウェア実行手段と、
として機能させる、情報処理プログラム。
【請求項１４】
前記情報処理端末を、
前記識別情報に係る情報処理端末に所定の作業環境を構築するためのソフトウェアの組み合わせ、または前記識別情報に係るユーザに所定のサービスを提供するためのソフトウェアの組み合わせ、を示すソフトウェアのリストを、前記識別情報を受信した前記管理サーバから受信するソフトウェアリスト受信手段と、
前記ソフトウェアリスト受信手段によって受信された１または複数のリストをユーザに提示し、ユーザによるリストの選択を受け付ける受付手段と、
を更に機能させ、
前記ソフトウェア受信手段は、前記選択されたリストに含まれるソフトウェアを前記サーバから受信する、
請求項１３に記載の情報処理プログラム。
【請求項１５】
ユーザによって使用される情報処理端末であるユーザ端末と通信可能に接続された管理サーバを、
前記ユーザ端末または該ユーザ端末を使用するユーザを識別するための識別情報を前記ユーザ端末より受信する識別情報受信手段と、
前記識別情報に係るユーザ端末またはユーザに応じたソフトウェアを、該ユーザ端末に送信して、前記ユーザ端末の起動または終了に際して初期化される一時領域に保存させるソフトウェア送信手段と、
として機能させる、情報処理端末の管理プログラム。
【請求項１６】
前記管理サーバを、
前記識別情報に係る情報処理端末に所定の作業環境を構築するためのソフトウェアの組み合わせ、または前記識別情報に係るユーザに所定のサービスを提供するためのソフトウェアの組み合わせ、を示すソフトウェアのリストを蓄積するソフトウェアリスト蓄積手段と、
前記識別情報に係る情報処理端末またはユーザに応じた前記リストを送信するソフトウェアリスト送信手段と、
として更に機能させ、
前記ソフトウェア送信手段は、前記ソフトウェアリスト送信手段によって送信された１または複数のリストのうちの、前記ユーザ端末において選択されたリストに基づいて該ユーザ端末より要求されたソフトウェアを、該ユーザ端末に送信する、
請求項１５に記載の管理プログラム。
【図１】
【図２】
【図３Ａ】
【図３Ｂ】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０Ａ】
【図１０Ｂ】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２】
【図３Ａ】
【図３Ｂ】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０Ａ】
【図１０Ｂ】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【公開番号】特開２００９−２５９２３６（Ｐ２００９−２５９２３６Ａ）
【公開日】平成２１年１１月５日（２００９．１１．５）
【国際特許分類】
【出願番号】特願２００９−７０６７３（Ｐ２００９−７０６７３）
【出願日】平成２１年３月２３日（２００９．３．２３）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＥＥＰＲＯＭ
【出願人】（０００００３６８７）東京電力株式会社 (2,580)
【Ｆターム（参考）】
【公開日】平成２１年１１月５日（２００９．１１．５）
【国際特許分類】
【出願日】平成２１年３月２３日（２００９．３．２３）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＥＥＰＲＯＭ
【出願人】（０００００３６８７）東京電力株式会社 (2,580)
【Ｆターム（参考）】
[ Back to top ]