情報処理装置、ポリシー適用方法、プログラム、及びシステム
【課題】Windowsネットワーク環境下に非Windowsシステムが導入される場合、非Windowsシステムに対し、Windowsサーバの管理するユーザ等のポリシーを出来る限り容易に適用できるようにした情報処理装置等を提供する。
【解決手段】本発明に係る情報処理装置は、第１のＯＳを有し、情報処理装置に対しまた情報処理装置のユーザ等に対しポリシーを適用するサーバと、第２のＯＳを有する第２の情報処理装置とにネットワークを介して接続される第１のＯＳを有する第１の情報処理装置であって、サーバからポリシーを取得し保存するポリシー管理手段と、第１のＯＳから第２のＯＳへ適用可能なポリシーが規定されたフィルタポリシーに基づき、保存されたポリシーをフィルタリングするフィルタ手段とを有し、フィルタリングされたポリシーは、第２の情報処理装置若しくは第２の情報処理装置ユーザ等に適用される。
【解決手段】本発明に係る情報処理装置は、第１のＯＳを有し、情報処理装置に対しまた情報処理装置のユーザ等に対しポリシーを適用するサーバと、第２のＯＳを有する第２の情報処理装置とにネットワークを介して接続される第１のＯＳを有する第１の情報処理装置であって、サーバからポリシーを取得し保存するポリシー管理手段と、第１のＯＳから第２のＯＳへ適用可能なポリシーが規定されたフィルタポリシーに基づき、保存されたポリシーをフィルタリングするフィルタ手段とを有し、フィルタリングされたポリシーは、第２の情報処理装置若しくは第２の情報処理装置ユーザ等に適用される。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、ポリシー適用方法、プログラム、及びシステムの分野に関する。
【背景技術】
【０００２】
従来より、Windows（登録商標：以下当該表記は省略）サーバは、Active Directoryによりドメインを構築できることが知られている。Active Directoryとはディレクトリサービスを提供するものであり、ネットワーク用語でディレクトリは、ネットワークオブジェクトの情報を格納する入れ物を意味する。ユーザがログインするときに使うユーザカウント、ユーザが使用するコンピュータのコンピュータアカウント、コンピュータ上にあるファイルを共有する共有フォルダ、ユーザがネットワーク経由で印刷するプリンタなどはすべてActive Directoryのオブジェクトに含まれる。ディレクトリサービスは、ディレクトリ内の情報を管理者やユーザなどが利用できるようにするサービスである。ディレクトリサービスにより、ネットワークオブジェクトの検索やアクセスができ、またそのネットワークオブジェクトの一元管理をすることができる。
【０００３】
またActive Directoryでは、ユーザやユーザグループ毎のポリシーについても一元管理可能である。規定されるポリシーにより、セキュリティの設定、Windowsデスクトップのカスタマイズ、アプリケーションの配布などが行える。例えば、ポリシーの具体例として、パスワードポリシー、アカウントロックポリシー、Windows Update（登録商標：以下当該表記は省略）ポリシー、共有フォルダポリシーなどが挙げられる。
【０００４】
このような上記Active Directoryの機能を利用して、管理者はネットワーク環境下においてWindowsサーバによりユーザ又はユーザグループ単位で、ユーザ名、パスワード、ポリシーなどのユーザ情報を一元的に管理することができる。ここで、上記ネットワーク環境下において、例えばＭＦＰ（多機能周辺装置：Multifunction Peripheral）を導入する場合、特にそのＭＦＰがWindowsとは異なるOS（例えばUnix（登録商標）系）を搭載しているシステムであると、既設のWindowsサーバが管理するポリシーにはWindows特有のポリシーも含まれているため、管理者が一元管理するユーザ情報をＭＦＰに適用し、Windowsサーバの管理下にそのまま入ることは難しいという問題がある。
【０００５】
これに関連する技術として、特許文献１には、Windows（Ｒ）等のOS(Operating System)により管理されているユーザ情報とジョブアカウントシステムにより管理されているユーザ情報との同期を自動的に行なうことが可能なジョブ管理装置の発明が記載されている。
【０００６】
なお、上記ＭＦＰは、特に多機能プリンタ（Multifunction Printer）の略称として認識される場合も少なくない。従って本明細書においてのＭＦＰは、ファックス、プリンタ、コピーおよびスキャナなどの各装置の機能を１つの筐体内に収納した画像形成装置であるものとする。
【発明の概要】
【発明が解決しようとする課題】
【０００７】
さて実際、上述のように既にWindowsサーバを構築し、Windowsクライアントのユーザに対して規定された各種ポリシーを適用しながらユーザ管理、運用しているネットワーク環境（顧客ネットワーク環境下）において、非Windows OSのＭＦＰが導入される場合がある。そして、ＭＦＰが既存ネットワーク環境下に接続される以上、管理者としては導入するＭＦＰについてもできるだけWindowsサーバでそのユーザ情報を管理し、またユーザ（又はユーザグループ）に対して規定されるポリシーも適用したいという要請があった。
【０００８】
しかし、実際そのOSの違いからWindowsサーバのポリシーをＭＦＰにそのまま適用することは難しく、それでも実現しようとすると場合によってはWindowsサーバ又はＭＦＰ側に対して相当な作り込みをしたり、特別なアプリケーションを付加しなくてはならず（例えば特許文献１参照）、既存Windowsネットワーク環境下にＭＦＰを容易に適用できないという問題があった。
【０００９】
即ち、ユーザ又はユーザグループ単位で、ユーザ名、パスワード、ポリシーなどのユーザ情報が一元的に管理されるWindowsネットワーク環境下において、非Windows OSのＭＦＰが導入されるとき、ＭＦＰ導入の敷居を下げられるよう、ＭＦＰが容易に既存のWindowsポリシーの枠組みに参加可能な構成が望まれる。
【００１０】
本発明では上記のような問題に鑑みて、Windowsネットワーク環境下に非Windowsシステムが導入される場合、非Windowsシステムに対し、Windowsサーバの管理するユーザ等のポリシーを出来る限り容易に適用できるようにした情報処理装置、ポリシー適用方法、プログラム、及びシステムを提供することを目的とする。
【課題を解決するための手段】
【００１１】
そこで上記課題を解決するため、本発明に係る情報処理装置は、第１のＯＳを有し、情報処理装置に対しまた情報処理装置のユーザ又はユーザグループに対しポリシーを適用するサーバと、２のＯＳを有する第２の情報処理装置と、ネットワークを介して接続される第１のＯＳを有する第１の情報処理装置であって、前記サーバから前記ポリシーを取得し保存するポリシー管理手段と、前記第１のＯＳから前記第２のＯＳへ適用可能なポリシーが規定されたフィルタポリシーに基づき、前記ポリシー管理手段により保存されたポリシーをフィルタリングするフィルタ手段と、を有し、前記フィルタリングされたポリシーは、前記第２の情報処理装置若しくは前記第２の情報処理装置ユーザ又はユーザグループに適用されることを特徴とする。
【００１２】
また上記課題を解決するため、前記情報処理装置において、前記サーバが管理するユーザ情報及び第２の情報処理装置が管理するユーザ情報と、自装置が管理するユーザ情報とを同期させる同期手段と、を有することを特徴とする。
【００１３】
また上記課題を解決するため、前記情報処理装置において、複数の前記第２の情報処理装置が接続され、前記フィルタリングされたポリシーは、複数の前記第２の情報処理装置若しくは複数の前記第２の情報処理装置ユーザ又はユーザグループに適用される。
【００１４】
なお、本発明の構成要素、表現または構成要素の任意の組合せを、方法、装置、システム、コンピュータプログラム、記録媒体、などに適用したものも本発明の態様として有効である。
【発明の効果】
【００１５】
本発明によれば、Windowsネットワーク環境下に非Windowsシステムが導入される場合、非Windowsシステムに対し、Windowsサーバの管理するユーザ等のポリシーを出来る限り容易に適用できるようにした情報処理装置、ポリシー適用方法、プログラム、及びシステムを提供することができる。
【図面の簡単な説明】
【００１６】
【図１】本実施形態に係るネットワーク環境の一例を示す。
【図２】本実施形態に係るWindowsサーバ１００、ＩＴ−ＢＯＸ２００、及びＭＦＰ３００の主要機能構成を示す機能ブロック図である。
【図３】各種ポリシーの具体例を示す。
【図４】フィルタリングされたポリシーの具体的を示す。
【図５】ＭＦＰ３００、ＩＴ−ＢＯＸ２００、Windowsサーバ１００の処理を説明するフローチャートである。
【図６】本実施形態に係るWindowsサーバ１００、ＩＴ−ＢＯＸ２２０、及びＭＦＰ３２０の主要機能構成を示す機能ブロック図である。
【図７】ユーザ情報２１１の具体例を示す。
【図８】ＭＦＰ３２０、ＩＴ−ＢＯＸ２２０、Windowsサーバ１００の処理を説明するフローチャートである。
【図９】イベント情報の一例を示す。
【図１０】本実施形態に係るネットワーク環境の一例を示す。
【発明を実施するための形態】
【００１７】
本発明を実施するための形態を各実施形態において図面を用いて説明する。なお、本発明を説明するにあたって、情報処理装置の一実施形態であるＭＦＰ（画像形成装置）に本発明を適用した例を以下に示す。ＭＦＰは、プリンタ、コピーおよびスキャナなどの複数の機能を一つの筐体内に収納した画像形成装置である。またこれら基本機能だけでなく、デジタル画像技術の高度化やＭＦＰに関連する技術の進化に伴い多彩な機能を有し、ユーザ環境において様々な利用形態を提供している。
【００１８】
[実施形態１]
＜ネットワーク環境＞
図１は、本実施形態に係るネットワーク環境の一例を示す。図に示されるように、Windowsサーバ１００、情報処理装置（以下IT-BOXと称する）２００、ＭＦＰ３００が、ネットワークを介して接続される。
【００１９】
Windowsサーバ１００は、管理者によりActive Directoryの機能を有して構築され、Windowsネットワーク環境下において、ユーザやユーザグループ、ポリシー（詳細後述）を管理しているサーバである。ＩＴ−ＢＯＸ２００は、ＭＦＰ３００の導入に伴い付随して導入された情報処理装置であり、そのOSはWindows（例えばWindows XP Professional等）により動作するシステムである。ＩＴ−ＢＯＸ２００は、その仲介的動作（詳細後述）により非WindowsシステムであるＭＰＦ３００に対して、Windowsサーバ１００の管理するユーザやユーザグループのポリシーを適用させる。ＭＦＰ３００は、Windowsネットワーク環境下に導入された画像形成装置であり、非Windows OS（例えばUnix（登録商標）、Linux等）により動作するシステムである。またネットワークには、例えばWindows XP ProfessionalなどのWindows OSにより動作するWindowsクライアントを接続できる（非図示）。
【００２０】
このように本実施形態に係るネットワーク環境では、Windowsサーバ１００によるWindowsネットワークに、Windows OSにより動作するＩＴ−ＢＯＸ２００及び非Windows OSにより動作するＭＦＰ３００が接続される。
【００２１】
＜機能＞
図２は、本実施形態に係るWindowsサーバ１００、ＩＴ−ＢＯＸ２００、及びＭＦＰ３００の主要機能構成を示す機能ブロック図である。以下、順に各装置について説明していく。
【００２２】
（Windowsサーバ）
図に示されるように、Windowsサーバ１００は主な機能として、ポリシー管理部１０１、設定情報管理部１０５を有し、パスワードポリシー１０２、アカウントロックアウトポリシー１０３、Windows Updateポリシー１０４、共有フィルダポリシー１０７、ユーザ情報１０６を保持している。Windowsサーバ１００において、ポリシー管理部１０１、設定情報管理部１０５はActive Directoryにより実現されており、Active Directoryによりドメインを構築している。
【００２３】
設定情報管理部１０５はユーザ情報１０６を管理し、ユーザ情報１０６には、ユーザが使用するクライアントコンピュータのコンピュータアカウント、ユーザがログインするときに使うユーザカウント（ユーザ名とパスワード）が登録されている。Active Directoryドメインに参加するWindowsクライアントは、コンピュータ起動時やユーザログイン時にWindowsサーバ１００の設定情報管理１０５を介しユーザ情報１０６に問い合わせ、入力されたアカウントでログインできるか否かの認証がなされる。そしてWindowsクライアントに対して、Windowsサーバ１００へのログインを許可する又は許可しない、の認証結果が返信される。なおユーザ情報１０６は、ユーザカウントがグループ化されている場合、複数のユーザメンバから構成されるユーザグループ情報を含んでいる。
【００２４】
ポリシー管理部１０１は、ユーザやユーザグループ（以下単にグループという）に適用すべきポリシーを管理している。ポリシーは、ユーザやグループ毎に応じて適用させるべきルールが規定されているものであり、本実施形態では一実施例として、パスワードポリシー１０２、アカウントロックポリシー１０３、Windows Updateポリシー１０４、共有フォルダポリシー１０７が示されている。図３に、各種ポリシーの具体例を示す。
【００２５】
パスワードポリシー１０２では、例えば「パスワードの長さ」、「パスワードの変更禁止期間」、「パスワードの有効期間」、「パスワードの履歴記録」、「パスワードの複雑さ」などが規定される。アカウントロックポリシー１０３では、例えば何回ログインに失敗したらアカウントをロックしログインできないようするかの「アカウントロック閾値」、ログオンに失敗した回数を何分後にリセットするかの「ロックアウトカウントのリセット」、ロックアウトされたアカウントを何分後に自動的にロックアウト解除するかの「ロックアウト期間」などが規定される。Windows Updateポリシー１０４では、Windowsシステムソフトウェアのアップデートを自動更新するか否かを設定する「自動更新を構築する」、アップデートするソフトウェアの検出時間を設定する「自動更新の検出頻度」、ソフトウェアのインストールをダウンロード後すぐに行うか否かを設定する「自動更新を直ちにインストールすることを許可する」などが規定される。共有フォルダポリシー１０７では、ユーザが共有フォルダをActive Directoryに公開するか否かの設定が規定される。
【００２６】
このようにポリシー管理１０１は、各種ポリシーの設定を行うとともに、ユーザやグループに応じて適用すべきポリシー及びそのポリシーの規定値の読み出しを行う。
【００２７】
なお、上記ポリシーは次の２種類に分類できる。１つは、Windows クライアント（例えばＩＴ−ＢＯＸ２００）の起動時に反映され、どのユーザカウントでログインしてもそのWindows クライアントに適用される「コンピュータの構成」に関するポリシーがある。もう１つは、起動後、ユーザカウントによるログイン時に伴い適用され、どのWindows クライアントでログインしても、そのユーザカウントに適用される「ユーザの構成」ポリシーがある。パスワードポリシー１０２及びアカウントロックポリシー１０３は、「コンピュータの構成」ポリシーに分類され、Windows Updateポリシー１０４及び共有フォルダポリシー１０７は、「ユーザの構成」ポリシーに分類できる。「コンピュータの構成」ポリシーと「ユーザの構成」ポリシーが適用されるタイミングは、上記の他に定期的(例えば９０分毎)にも適用されうる。
【００２８】
（IT-BOX）
図に示されるように、ＩＴ−ＢＯＸ２００は主な機能として、セッション管理部２０３、Windows サーバ認証処理部２０４、ポリシー管理部２０５、レジストリ２０６、フィルタ部２０７、ポリシーフィルタ２０８、レジストリ２０９を有している。
【００２９】
ＩＴ−ＢＯＸ２００は、ＭＦＰ３００の導入に伴い付随して導入された情報処理装置であり、そのOSはWindows（例えばWindows XP Professional等）により動作するシステムである。従ってＩＴ−ＢＯＸ２００は、Windowsドメイン(Active Directoryのドメイン含む)に参加するWindows２０１の機能が備わっている。一方Windows２０１の枠外に示される機能ブロック（セッション管理２０３、フィルタ部２０７、フィルタポリシー２０８、レジストリ２０９等）は、ＩＴ−ＢＯＸ用ソフトウェアとして組み込まれている機能である。
【００３０】
セッション管理部２０３は、主にセッション管理を司り、例えばWindowsサーバ１００、ＭＦＰ３００とのセッションを管理する機能部である。
【００３１】
Windows２０１内のWindows サーバ認証処理部２０４は、Windowsサーバ１００のActive Directoryドメインへの参加機能を有しており、例えばＭＦＰ３００の操作部３０８から入力されたユーザ名とパスワードを用いて、セッション管理２０３を経由しWindowsサーバ１００にログインを行う。つまり、ＭＦＰ３００で入力されたユーザ名とパスワードを使用して、仲介的にWindowsサーバの設定情報管理１０５に問い合わせ、Directoryドメインへログインできるかの認証を行う。Windowsドメインへの参加が許可された場合（又は失敗した場合）、ＭＦＰ３００の操作部３０８にその旨表示させる。
【００３２】
ここで、ＩＴ−ＢＯＸ２００がWindowsサーバ１００へのログインに成功すると、Windowsサーバ１００のActive Directoryドメインへの参加機能でログインすることになる。よって、ポリシー管理部２０５は、ログインしたユーザに適用されるポリシー(この場合「ユーザの構成」ポリシーであるWindows Updateポリシーと共有フォルダポリシー)を、Windowsサーバ１００からポリシー管理１０１を介して読み出し、Windows２０１内のレジストリ２０６に保存（反映）しておく。
【００３３】
また、「コンピュータの構成」ポリシーであるパスワードポリシーとアカウントロックポリシーは、ＩＴ−ＢＯＸ２００の起動時にコンピュータアカウントによる認証を経て、Windows２０１内のポリシー管理２０５によりレジストリ２０６に既に保存（反映）されている。ＩＴ−ＢＯＸ２００はWindowsをベースとするシステムであるため、Windowsサーバ１００からのポリシーはＩＴ−ＢＯＸ２００自身にも当該ポリシーが反映される。例えば、ＩＴ−ＢＯＸ２００がWindowsサーバ１００への起動時ログインが成功すると、「コンピュータの構成」ポリシーが適用されるため、パスワードポリシーに反する場合、これを満たさせるように動作し、また共有フォルダのActive Directoryへの公開設定が「有効」に設定されている場合はＩＴ−ＢＯＸ２００内の共有フォルダがActive Directoryへ公開される。
【００３４】
フィルタ部２０７は、フィルタポリシー２０８に基づいてレジストリ２０６のポリシーのフィルタを行う。上述のように、Windowsサーバ１００のポリシーはレジストリ２０６に保存されている。ここで、パスワードポリシー１０２、アカウントロックアウトポリシー１０３、共有フォルダポリシーはＭＦＰ３００に適用可能なポリシーであるが、Windows Updateポリシー１０４は非Windows OSのＭＦＰ３００には適用できないポリシーである。このようにフィルタポリシー２０８には、予めＭＦＰ３００に適用可能、不可能なポリシーが規定されているので、フィルタ部２０７は、フィルタポリシー２０８を参照し、レジストリ２０６に保存されているポリシーからＭＦＰ３００に適用できないポリシーをフィルタリングする。フィルタリングされたポリシーは、レジストリ２０９に保存しておく。
【００３５】
図４は、フィルタリングされたポリシーの具体的を示す。フィルタリングされた、即ちＭＦＰ３００に適用しうるポリシーとして、パスワードポリシー、アカウントロックアウトポリシー、共有フォルダポリシーが記述されている。フィルタリングされＭＰＦ３００に適用されるポリシーは、ＭＦＰ３００のポリシー管理３０８に反映される。
【００３６】
（ＭＦＰ）
上述のようにＭＦＰ３００は、Windowsサーバ１００及びＩＴ−ＢＯＸ２００とは異なる種類のOSによる画像形成装置システムである。図に示されるように、ＭＦＰ３００は主な機能として、リクエスト管理部３０２、セッション管理部３０５、認証処理部３０６、ポリシー管理部３０７、操作部３０８を有している。
【００３７】
操作部３０８は、ユーザカウント（ユーザ名とパスワード）を入力するログイン画面を表示する。操作部３０８からユーザカウントが入力されると、リクエスト管理部３０２、セッション管理部３０５を介して、ＩＴ−ＢＯＸ２００のWindows サーバ認証処理部２０４に認証のリクエストを行う。ＩＴ−ＢＯＸ２００のWindows サーバ認証処理部２０４は、ＭＦＰ３００の操作部３０８から入力されたユーザ名とパスワードを用いて、セッション管理２０３を経由しWindowsサーバ１００にログインを行う。
【００３８】
ポリシー管理部３０７は、ＩＴ−ＢＯＸ２００のレジストリ２０９からフィルタリングされたポリシーを取得、参照する。そしてポリシーに従うように動作を行う。ＩＴ−ＢＯＸ２００の仲介によりWindowsサーバ１００にて認証（認証成功）されると、上述したようにＩＴ−ＢＯＸ２００にていわばＭＦＰ３００用のフィルタリングされたポリシーがレジストリ２０９に保存されているので、ポリシー管理部３０７は、ＩＴ−ＢＯＸ２００のレジストリ２０９からフィルタリングされたポリシーを取得し、当該ポリシーに適合しない場合にはＭＦＰ３００が当該ポリシーに従うように動作を行う。例えば、Ｔ−ＢＯＸ２００のレジストリ２０９からフィルタリングされたポリシーにおいて、パスワードポリシーの「パスワードの有効期限」がＭＰＦ３００に適用され、当該ユーザカウントのパスワードの有効期限が切れている場合、操作部３０８にはパスワードの有効期限が切れている旨のメッセージが表示され、パスワードの変更をユーザに促す。また例えば、共有フォルダポリシーが当該ユーザカウントに適用される場合、共有フォルダのActive Directoryへの公開設定が「有効」に設定されていれば、ＭＦＰ３００にて保管されているデータ(文書データなど)を、Active Directoryへ公開する。
【００３９】
認証処理部３０６は、ＩＴ−ＢＯＸ２００の仲介によりWindowsサーバ１００にて認証（認証成功）されると、ＭＦＰ３００自身へのログイン処理を行う。また当該ポリシーに適合しない場合にはＭＦＰ３００が当該ポリシーに従うように動作を行い、ポリシーに適合した後、ＭＦＰ３００自身へのログイン処理を行う。
【００４０】
＜動作＞
図５は、ＭＦＰ３００、ＩＴ−ＢＯＸ２００、Windowsサーバ１００の処理を説明するフローチャートである。上述と重複する点もあるが以下確認的に説明を行う。
【００４１】
ＭＦＰ３００の操作部３０８は、ユーザカウント（ユーザ名とパスワード）を入力するログイン画面を表示する。ユーザにより操作部３０８からユーザカウントが入力されると（Ｓ５０１）、リクエスト管理部３０２、セッション管理部３０５を介して、ＩＴ−ＢＯＸ２００のWindows サーバ認証処理部２０４に認証のリクエストを行う（Ｓ５０２）。
【００４２】
ＩＴ−ＢＯＸ２００のWindows サーバ認証処理部２０４は、ＭＦＰ３００の操作部３０８から入力されたユーザ名とパスワードを用いて、セッション管理２０３を経由しWindowsサーバ１００にログイン要求を行う（Ｓ５０３）。
【００４３】
Windowsサーバ１００の設定情報管理部１０５は、入力されたユーザ名とパスワードを用いて、ユーザ情報１０６に基づきログイン認証を行う（Ｓ５０４）。ここでは入力されたユーザ名とパスワードがユーザ情報１０６に登録されており認証は成功とする。なお認証失敗の場合はその旨ＩＴ−ＢＯＸ２００に通知すればよい。最終的にＭＦＰ３００に通知され、ＭＦＰ３００の操作部３０８に認証失敗の旨、表示される。
【００４４】
認証が成功すると、Windowsサーバ１００のポリシー管理部１０１は、当該ユーザカウント（又は属するグループ）に適用すべきポリシーをＩＴ−ＢＯＸ２００へ通知する（Ｓ５０５）。
【００４５】
ＩＴ−ＢＯＸ２００のポリシー管理部２０５は、通知されたポリシーをWindows２０１内のレジストリ２０６に保存（反映）する（Ｓ５０６）。
【００４６】
ＩＴ−ＢＯＸ２００のフィルタ部２０７は、フィルタポリシー２０８を参照し、レジストリ２０６に保存されているポリシーからＭＦＰ３００に適用できないポリシーをフィルタリングする（Ｓ５０７）。そしてフィルタリングされたポリシーをレジストリ２０９に保存する（Ｓ５０８）。
【００４７】
またＩＴ−ＢＯＸ２００のセッション管理部２０３は、ＭＦＰ３００のセッション管理部３０５に対して、認証結果を通知する（Ｓ５０９）。
【００４８】
ＭＦＰ３００のポリシー管理部３０７は、認証成功の通知を受けて、ＩＴ−ＢＯＸ２００のレジストリ２０９からフィルタリングされたポリシーを取得、参照する（Ｓ５１０）。
なおフィルタリングされたポリシーは認証結果（認証成功の場合）とともに通知してもよい。
【００４９】
そしてポリシー管理部３０７は、当該ポリシーへの適合判定を行う（Ｓ５１１）。当該ポリシーに適合しない場合、ＭＦＰ３００が当該ポリシーに従うように適合処理動作を行う（Ｓ５１２）。例えば、ＩＴ−ＢＯＸ２００のレジストリ２０９からフィルタリングされたポリシーにおいて、パスワードポリシーの「パスワードの有効期限」がＭＰＦ３００に適用され、当該ユーザカウントのパスワードの有効期限が切れている場合、操作部３０８にはパスワードの有効期限が切れている旨のメッセージを表示し、ポリシーに適合するようにパスワードの変更をユーザに促す。
【００５０】
一方、当該ポリシーに適合している場合（Ｓ５１１）、ＭＦＰ３００の認証処理部３０６は、ＩＴ−ＢＯＸ２００の仲介によりWindowsサーバ１００にて認証（認証成功）しているので、続いてＭＦＰ３００自身へのログイン処理を行う（Ｓ５１３）。また当該ポリシーに適合していない場合にはＭＦＰ３００が当該ポリシーに従うように動作を行い、ポリシーに適合した後、ＭＦＰ３００自身へのログイン処理を行う。
【００５１】
以上のように、既にWindowsサーバでユーザー及びグループ単位で、ユーザー名・パスワード、ポリシーなどのユーザ情報を一元的に管理しているユーザー環境に、多機能周辺装置ＭＦＰを導入する場合、特にＭＦＰがWindowsとは異なるOSを搭載していると、Windowsサーバが管理するポリシーにはWindows特有のポリシーも含まれており、管理者が一元管理するユーザ情報にＭＦＰもその管理下にそのまま入ることが困難である。本実施形態によれば、ＩＴ−ＢＯＸをWindowsサーバとＭＦＰ間に仲介させることで、ＩＴ−ＢＯＸにWindowsサーバが管理するドメインへの参加のために特別な対応を施すことなく、ＭＦＰをWindowsサーバのドメインに参加させ、またWindowsサーバが管理するポリシーを適用することができる。
【００５２】
なおまた、ＩＴ−ＢＯＸが仲介役となることでWindowsサーバ、ＭＦＰの何れの立場からも管理する機器がＩＴ−ＢＯＸ一つだけであるので、今後のシステム(Windowsサーバ、ＩＴ−ＢＯＸ、ＭＦＰ)の拡張を考える上でもＩＴ−ＢＯＸでシステム内のバージョンアップなどによる差異を吸収することができる。
【００５３】
[実施形態２]
上述の実施形態１において、ＩＴ−ＢＯＸ２００は、ＭＦＰ３００とWindows サーバ１００のやり取りについて仲介的な動作を行うことにより、非Windows OSのＭＦＰ３００に対してWindows ドメイン下における各種ポリシーを適用させた。本実施形態２においては、ＩＴ−ＢＯＸ２００を実装レベルにより近づけた装置とした上で本発明の適用を行う。
【００５４】
ＩＴ−ＢＯＸ２２０は、Windows２０１をベースとした装置であり、ＭＦＰ３２０のオプション的な位置づけの装置である。ＭＦＰ３２０には、各種画像形成機能が実装されているが、ＭＦＰ３２０は概して、コピー・ファクス・スキャン・プリントなどの基本機能およびそのH/W制御を行うソフトウェア実装が中心である。一方、ＭＦＰ３２０に連携するように装着したＩＴ−ＢＯＸ２２０は、ＭＦＰ３２０のコピー・ファクス・スキャン・プリントなどの基本機能より取得された画像データや情報などを用いて、画像データの大容量蓄積や高度な画像処理など、付加価値機能を提供できるようになっている。このようなＩＴ−ＢＯＸ２２０の実装レベルの役割からすると、そのOSには汎用的なWindows OSが採用されることが望ましい。短期間で高品質な付加価値機能（ソフトウェア）の開発、提供が容易だからである。
【００５５】
即ち本実施形態２において、ＩＴ−ＢＯＸ２２０は、ＭＦＰ３２０の導入に伴い、より付加価値的な画像形成処理機能を提供するために付随して導入された情報処理装置であり、そのためそのOSはWindows（例えばWindows XP Professional等）により動作するシステムになっている。以下説明する。
【００５６】
＜機能＞
図６は、本実施形態に係るWindowsサーバ１００、ＩＴ−ＢＯＸ２２０、及びＭＦＰ３２０の主要機能構成を示す機能ブロック図である。上述の実施形態１（図２）と比べ、Windowsサーバ１００は同様であり、ＩＴ−ＢＯＸ２２０及びＭＦＰ３２０においてはその構成がやや異なる。本実施形態にて想定されるネットワーク環境は、上述の実施形態１（図１）と同様である。以下説明を進めるが、実施形態１と同様の点などその説明を省略又は簡略する場合がある。
【００５７】
（IT-BOX）
図に示されるように、ＩＴ−ＢＯＸ２２０は主な機能として、セッション管理部２０３、Windows サーバ認証処理部２０４、ポリシー管理部２０５、レジストリ２０６、フィルタ部２０７、ポリシーフィルタ２０８、レジストリ２０９に加え、ＭＦＰ認証処理部２１０、設定情報管理部２１２、パスワードフィルタ部２１３、ログ管理部２１５、アカウント管理部２１４、操作部２１６、ユーザ情報２１１を有している。
【００５８】
ＩＴ−ＢＯＸ２２０は、ＭＦＰ３２０の導入に伴い付随して導入された情報処理装置であり、そのOSはWindows（例えばWindows XP Professional等）により動作するシステムである。従ってＩＴ−ＢＯＸ２２０は、Windowsドメイン(Active Directoryのドメイン含む)に参加するWindows２０１の機能が備わっている。一方Windows２０１の枠外に示される機能ブロック（セッション管理２０３、フィルタ部２０７、フィルタポリシー２０８、レジストリ２０９、ＭＦＰ認証処理部２１０、設定情報管理部２１２、操作部２１６等）は、ＩＴ−ＢＯＸ用ソフトウェアとして組み込まれている機能である。
【００５９】
ＩＴ−ＢＯＸ２２０は、Windows２０１をベースとした装置であり、ＭＦＰ３２０のオプション的な位置づけの装置である。ＭＦＰ３２０には、各種画像形成機能が実装されているが、ＭＦＰ３２０は概して、コピー・ファクス・スキャン・プリントなどの基本機能およびそのH/W制御を行うソフトウェア実装が中心である。一方、ＭＦＰ３２０に連携するように装着したＩＴ−ＢＯＸ２２０は、ＭＦＰ３２０のコピー・ファクス・スキャン・プリントなどの基本機能より取得された画像データや情報などを用いて、画像データの大容量蓄積や高度な画像処理など、付加価値機能を提供できるようになっている。
【００６０】
ＩＴ−ＢＯＸ２２０に汎用的なWindows OSを採用するのは、短期間で高品質な付加価値機能の開発、提供が容易だからである。理由としては、既に製品化されているWindowsベースのソフトウェアやドライバー及びWindowsの標準機能をそのまま採用できる点、開発人口が多い点、開発統合環境(Visual Studio等)のリモートデバッグ機能など、デバッグ環境が充実している点、などが挙げられる。
【００６１】
設定情報管理部２１２は、ＩＴ−ＢＯＸ２２０が管理するユーザ情報２１１を管理する。Windowsサーバ１００のユーザ情報１０６と、ＩＴ−ＢＯＸ２２０のユーザ情報２１１は別々に管理されるものであるが、ユーザ名などのユーザを判別する情報は基本的に共通である。即ちユーザは共通であるが、ＩＴ−ＢＯＸ２２０で管理されるユーザ情報２１１には、ＩＴ−ＢＯＸソフトウェア固有の情報が含まれる。図７は、ユーザ情報２１１の具体例を示す。例えばユーザカウントやユーザ関連情報を含んでいる。
【００６２】
ＭＦＰ認証処理部２１０は、セッション管理部２０３を介し、ＭＦＰ３２０に対してログイン要求を発行する。
【００６３】
操作部２１６は、ユーザ名とパスワードを入力するログイン画面を表示し、ユーザはＩＴ−ＢＯＸ２２０がWindowsサーバ１００にログインする場合、ユーザは操作部２１６からユーザ名とパスワードを入力する。
【００６４】
セッション管理部２０３は、主にセッション管理を司り、例えばWindowsサーバ１００、ＭＦＰ３２０とのセッションを管理する機能部である。
【００６５】
Windows２０１内のWindows サーバ認証処理部２０４は、Windowsサーバ１００のActive Directoryドメインへの参加機能を有しており、例えばＩＴ−ＢＯＸ２２０の操作部２１６から入力されたユーザ名とパスワードを用いて、セッション管理２０３を経由しWindowsサーバ１００にログインを行う。
【００６６】
ここで、ＩＴ−ＢＯＸ２２０がWindowsサーバ１００へのログインに成功すると、Windowsサーバ１００のActive Directoryドメインへの参加機能でログインすることになる。よって、ポリシー管理部２０５は、ログインしたユーザに適用されるポリシー(この場合「ユーザの構成」ポリシーであるWindows Updateポリシーと共有フォルダポリシー)を、Windowsサーバ１００からポリシー管理１０１を介して読み出し、Windows２０１内のレジストリ２０６に保存（反映）しておく。
【００６７】
また、「コンピュータの構成」ポリシーであるパスワードポリシーとアカウントロックポリシーは、ＩＴ−ＢＯＸ２２０の起動時にコンピュータアカウントによる認証を経て、Windows２０１内のポリシー管理２０５によりレジストリ２０６に既に保存（反映）されている。
【００６８】
フィルタ部２０７は、フィルタポリシー２０８に基づいてレジストリ２０６のポリシーのフィルタを行う。上述のように、Windowsサーバ１００のポリシーはレジストリ２０６に保存されている。ここで、パスワードポリシー１０２、アカウントロックアウトポリシー１０３、共有フォルダポリシーはＭＦＰ３２０に適用可能なポリシーであるが、Windows Updateポリシー１０４は非Windows OSのＭＦＰ３２０には適用できないポリシーである。このようにフィルタポリシー２０８には、予めＭＦＰ３２０に適用可能、不可能なポリシーが規定されているので、フィルタ部２０７は、フィルタポリシー２０８を参照し、レジストリ２０６に保存されているポリシーからＭＦＰ３２０に適用できないポリシーをフィルタリングする。フィルタリングされたポリシーは、レジストリ２０９に保存しておく。
【００６９】
（ＭＦＰ）
ＭＦＰ３２０は、Windowsサーバ１００及びＩＴ−ＢＯＸ２００とは異なる種類のOSによる画像形成装置システムである。図に示されるように、ＭＦＰ３２０は、操作部３０８、リクエスト管理部３０２、セッション管理部３０５、認証処理部３０６、ポリシー管理部３０７に加え、設定情報管理部３０３、ユーザ情報３０４を有している。
【００７０】
操作部３０８は、ユーザカウント（ユーザ名とパスワード）を入力するログイン画面を表示する。
【００７１】
ポリシー管理部３０７は、フィルタされたポリシーを読み出して適合しているかどうか確認する。当該ポリシーに適合しない場合にはＭＦＰ３２０が当該ポリシーに従うように動作を行う。
【００７２】
認証処理部３０６は、ＭＦＰ３２０自身へのログイン処理を行う。また当該ポリシーに適合しない場合にはＭＦＰ３２０が当該ポリシーに従うように動作を行い、ポリシーに適合した後、ＭＦＰ３２０自身へのログイン処理を行う。
【００７３】
設定情報管理部３０３は、ＭＦＰ３２０が管理するユーザ情報３０４を管理する。ＩＴ−ＢＯＸ２２０のユーザ情報１０６とＩＴ−ＢＯＸ２２０のユーザ情報２１１とＭＦＰ３２０の管理するユーザ情報３０４とは別々に管理されるものであるが、ユーザ名などのユーザを判別する情報は基本的に共通である。即ちユーザは共通であるが、ＭＦＰ３２０で管理されるユーザ情報３０４には、ＭＦＰ固有の情報（ユーザ毎の画像形成動作権限等）が含まれる。
【００７４】
＜動作＞
図８は、ＭＦＰ３２０、ＩＴ−ＢＯＸ２２０、Windowsサーバ１００の処理を説明するフローチャートである。以下説明を行う。
【００７５】
ＩＴ−ＢＯＸ２２０の操作部２１６は、ユーザカウント（ユーザ名とパスワード）を入力するログイン画面を表示している。ユーザにより操作部２１６からユーザカウントが入力されると（Ｓ８０１）、入力されたユーザ名とパスワードを用いて、ＩＴ−ＢＯＸ２２０のユーザ情報２１１に当該ユーザが存在するか否かを確認してから、セッション管理２０３を経由しWindowsサーバ１００にログイン要求を行う（Ｓ８０２）。
【００７６】
Windowsサーバ１００の設定情報管理部１０５は、入力されたユーザ名とパスワードを用いて、ユーザ情報１０６に基づきログイン認証を行う（Ｓ８０３）。ここでは入力されたユーザ名とパスワードがユーザ情報１０６に登録されており認証は成功とする。なお認証失敗の場合はその旨ＩＴ−ＢＯＸ２２０に通知され、操作部２１６に認証失敗の旨、表示される。
【００７７】
認証が成功すると、Windowsサーバ１００のポリシー管理部１０１は、当該ユーザカウント（又は属するグループ）に適用すべきポリシーをＩＴ−ＢＯＸ２２０へ通知する（Ｓ８０４）。
【００７８】
ＩＴ−ＢＯＸ２２０のポリシー管理部２０５は、通知されたポリシーをWindows２０１内のレジストリ２０６に保存（反映）する（Ｓ８０５）。
【００７９】
ＩＴ−ＢＯＸ２２０のフィルタ部２０７は、フィルタポリシー２０８を参照し、レジストリ２０６に保存されているポリシーからＭＦＰ３２０に適用できないポリシーをフィルタリングする（Ｓ８０６）。そしてフィルタリングされたポリシーをレジストリ２０９に保存する（Ｓ８０７）。
【００８０】
ＭＦＰ認証処理部２１０は、セッション管理部２０３を介し、ＭＦＰ３２０に対してログイン要求を発行する（Ｓ８０８）。
【００８１】
ＭＦＰ３２０のユーザ情報３０４に当該ユーザカウントが存在するか否かを確認してから、ＭＦＰ３２０のポリシー管理部３０７は、ＩＴ−ＢＯＸ２２０のレジストリ２０９からフィルタリングされたポリシーを取得、参照する（Ｓ８０９）。
【００８２】
そしてポリシー管理部３０７は、当該ポリシーへの適合判定を行う（Ｓ８１０）。当該ポリシーに適合しない場合、ＭＦＰ３２０が当該ポリシーに従うように適合処理動作を行う（Ｓ８１１）。例えば、ＩＴ−ＢＯＸ２２０のレジストリ２０９からフィルタリングされたポリシーにおいて、パスワードポリシーの「パスワードの有効期限」がＭＰＦ３０１に適用され、当該ユーザカウントのパスワードの有効期限が切れている場合、操作部３０８にはパスワードの有効期限が切れている旨のメッセージを表示し、ポリシーに適合するようにパスワードの変更をユーザに促す。この場合、設定情報管理部３０３がパスワードの変更を行う。
【００８３】
一方、当該ポリシーに適合している場合（Ｓ８１０）、ＭＦＰ３２０の認証処理部３０６は、続いてＭＦＰ３２０自身へのログイン処理を行う（Ｓ８１２）。また当該ポリシーに適合していない場合にはＭＦＰ３２０が当該ポリシーに従うように動作を行い、ポリシーに適合した後、ＭＦＰ３２０自身へのログイン処理を行う。
【００８４】
＜補足＞
ここで、Windowsサーバ１００で管理する各種ポリシー(パスワードポリシー１０２、アカウントロックアウトポリシー１０３、共有フォルダポリシー１０７)を、異なるOSを搭載しているＭＦＰ３２０にまで適用するには、ユーザのログイン時に適用されるユーザの構成ポリシーも含むため、各装置間(Windowsサーバ１００、ＩＴ−ＢＯＸ２２０、ＭＦＰ３２０)でユーザが同期されていることが実現手段の一つとなる。
【００８５】
上記では、基本的にWindowsサーバ１００のユーザ情報１０６で管理しているユーザと、ＩＴ−ＢＯＸ２２０のユーザ情報２１１で管理しているユーザは共通であると説明したが、Windowsサーバ１００側、及びＩＴ−ＢＯＸ２２０側のWindows２０１でユーザの追加、削除又は及びユーザ情報の変更(パスワードの変更など)が行われた場合、その追加、削除、変更が発生した時点で、お互いのシステム(Windowsサーバ１００とＩＴ−ＢＯＸ２２０)は、その追加、削除、変更（以下追加等という）が分からない。そのような場合、ユーザ情報に食い違いが生じてしまう。従って、以下Windowsサーバ１００とＩＴ−ＢＯＸ２２０間でのユーザの追加等が発生した場合の対応方法を説明する。また併せてＩＴ−ＢＯＸ２２０とＭＦＰ３間のユーザの追加等への対応も説明する。
【００８６】
（１）Windowsサーバ１００でユーザ情報１０６の追加等が発生したケースを示す。
【００８７】
Windowsサーバ１００でユーザが追加された場合、ＩＴ−ＢＯＸ２２０の操作部２１６からのログイン時、Windowsサーバ１００に追加したユーザ名とパスワードを入力すればよい。Windowsサーバ１００へのログインには成功する。その後、ＩＴ−ＢＯＸ２２０の設定情報管理２１２を経由して、ＩＴ−ＢＯＸ２２０のユーザ情報２１１にも当該ユーザを追加する。ＭＦＰ３２０に対しては、ＩＴ−ＢＯＸ２２０からのＭＦＰ３２０へのログイン要求時、ＭＦＰ３２０のユーザ情報３０４にそのユーザが存在していなければ、ＩＴ−ＢＯＸ２２０の設定情報管理２１２よりＭＦＰ３２０の設定情報管理３０３に対しユーザ追加を要求する。そしてＭＦＰ３２０の設定情報管理３０３は、ＭＦＰ３２０のユーザ情報３０４にユーザを追加する。
【００８８】
Windowsサーバ１００でユーザが削除された場合、ＩＴ−ＢＯＸ２２０の操作部２０７から、削除されたユーザ名でWindowsサーバ１００へのログインを試みても、Windowsサーバ１００のユーザ情報１０６からはそのユーザは削除されているので、ログインに失敗する。この場合、ＩＴ−ＢＯＸ２２０の設定情報管理(212)を経由して、ＩＴ−ＢＯＸ２２０のユーザ情報２１１からユーザを削除する。ＭＦＰ３２０に対しては、ＩＴ−ＢＯＸ２２０の設定情報管理２１２よりＭＦＰ３２０の設定情報管理３０３に対し当該ユーザの削除を要求する。そして ＭＦＰ３２０の設定情報管理３０３は、ＭＦＰ３２０のユーザ情報３０４から当該ユーザを削除する。
【００８９】
Windowsサーバ１００でユーザ情報が変更された場合、パスワードが変更されている場合は、そのパスワードを利用者がＩＴ−ＢＯＸ２２０の操作部２０７に入力すればよい。その後、ＩＴ−ＢＯＸ２２０の設定情報管理２１２を経由して、ＩＴ−ＢＯＸ２２０のユーザ情報２１１にも当該ユーザのパスワードを変更する。ＭＦＰ３２０に対しては、ＩＴ−ＢＯＸ２２０からのＭＦＰ３２０へのログイン要求時、ＩＴ−ＢＯＸ２２０の設定情報管理２１２よりＭＦＰ３２０の設定情報管理３０３に対し該ユーザのパスワード変更を要求する。そしてＭＦＰ３２０の設定情報管理３０３は、ＭＦＰ３２０のユーザ情報３０４に当該ユーザのパスワード変更をする。
【００９０】
Windowsサーバ１００でポリシーが変更されている場合、ＩＴ−ＢＯＸ２２０からのWindowsサーバ１００へのログイン後、ポリシーはＩＴ−ＢＯＸ２２０のWindows２０１のレジストリ２０６に反映される。ＭＦＰ３２０に対しては、レジストリ２０９のフィルタリングされたポリシーによって反映される。
【００９１】
（２）ＩＴ−ＢＯＸ２２０のWindows２０１におけるWindowsへのユーザ追加等の検出方法を示す。
【００９２】
アカウント管理２１４にて、Windowsへのユーザ追加、削除、ユーザ情報の変更を検出する。変更が発生すると、ログ管理２１５によってWindowsのセキュリティイベントログに出力される。イベントログには発生したイベント種を判別するためのイベントIDが記載されている。また、どのユーザに発生したイベントなのかは、メンバIDに記載されている。これらはアカウント管理２１４、ログ管理２１５ともにWindowsに備わっている機能である。設定情報管理２１２にて、イベントログを解析し、イベントの種別と、どのユーザで発生したイベントであるかを取得する。設定情報管理２１２が、イベント内容に応じてユーザ情報２１１へ反映する。図９は、イベント情報の一例を示す。
【００９３】
ここでパスワード情報はアカウント管理２１４では取得できないため、以下の別手段を講じる。パスワードの変更は、パスワードフィルタ２１３より変更通知および変更したパスワードの情報が可能である。変更通知の通知は設定情報管理２１２で受ける。変更したパスワード情報の取得及びユーザ情報２１１への反映も設定情報管理２１２が行う。パスワードフィルタもWindowsに備わっている機能である。
【００９４】
ＩＴ−ＢＯＸ２２０にユーザが追加された場合、仮にクライアント側であるＩＴ−ＢＯＸ２２０に追加したユーザを、ＩＴ−ＢＯＸ２２０の操作部２１６からのログイン時にWindowsサーバ１００に自動登録してしまうと、Windowsサーバ１００でのユーザ一元管理が崩れてしまう。このケースは、サーバ管理者がWindowsサーバ１００側よりＩＴ−ＢＯＸ２２０に追加したユーザを登録する。ＭＦＰ３２０に対しては、ＩＴ−ＢＯＸ２２０からのＭＦＰ３２０へのログイン要求時、ＭＦＰ３２０のユーザ情報３０４にそのユーザが存在していなければ、ＩＴ−ＢＯＸ２２０の設定情報管理２１２より、ＭＦＰ３２０の設定情報管理３０３に対し当該ユーザ追加を要求する。そしてＭＦＰ３２０の設定情報管理３０３は、ＭＦＰ３２０のユーザ情報３０４に当該ユーザを追加する。
【００９５】
ＩＴ−ＢＯＸ２２０でユーザが削除された場合、ユーザが削除されているので、ＩＴ−ＢＯＸ２２０の操作部２１６からのログインに失敗する。Windowsサーバ１００へのログイン前にＩＴ−ＢＯＸ２２０のユーザ情報２１１にユーザが存在するか否かを確認するので、ユーザが削除されていることを判断できる。一連のログイン動作はＩＴ−ＢＯＸ２２０のユーザ情報を起点とするので、Windowsサーバ１００のユーザ情報１０６は変更せず、そのままとする。ＭＦＰ３２０に対しては、ＩＴ−ＢＯＸ２２０の設定情報管理２１２よりＭＦＰ３２０の設定情報管理３０３に対しユーザ削除を要求する。そしてＭＦＰ３２０の設定情報管理３０３は、ＭＦＰ３２０のユーザ情報３０４から当該ユーザを削除する。
【００９６】
ＩＴ−ＢＯＸ２２０でユーザ情報が変更された場合、パスワードが変更されている場合は、そのパスワードをユーザがＩＴ−ＢＯＸ２２０の操作部２１６に入力すればよい。ポリシーはWindowsサーバ１００が一元管理しているので、クライアント側であるＩＴ−ＢＯＸ２２０では変更できない。ＭＦＰ３２０に対しては、ＩＴ−ＢＯＸ２２０の設定情報管理２１２よりＭＦＰ３２０の設定情報管理３０３に対しユーザ情報(ここではパスワード)の 変更を要求する。そしてＭＦＰ３２０の設定情報管理３０３は、ＭＦＰ３２０のユーザ情報３０４の当該ユーザ情報を変更する。
【００９７】
（３）ＭＦＰ３２０でユーザ情報３０４の追加等が発生したケースを示す。
【００９８】
ＭＦＰ３２０でユーザが追加された場合、一連のログイン動作はＩＴ−ＢＯＸ２２０のユーザ情報を起点とするので、その一連の流れにおいてＩＴ−ＢＯＸ２２０側からＭＦＰ３２０のユーザを追加することはできない。ＩＴ−ＢＯＸ２２０とＭＦＰ３２０間のユーザ情報は、ＩＴ−ＢＯＸ２２０からＭＦＰ３２０へのログイン要求時に、ＩＴ−ＢＯＸ２２０の設定情報管理２１２と、ＭＦＰ３２０の設定情報管理３０３間で、お互いのユーザ情報の変化(追加・削除・変更)を確認し合い、変化をお互いのユーザ情報に反映する。また、ＩＴ−ＢＯＸ２２０からＭＦＰ３２０へのログイン要求時だけでなく、一定時間間隔でもお互いのユーザ情報の変化(追加・削除・変更)を確認し合い、変化をお互いのユーザ情報に反映するようにもできる。
【００９９】
ＭＦＰ３２０でユーザが削除された場合、ＩＴ−ＢＯＸ２２０の操作部２１６から、Windowsサーバ１００へのログイン成功後、ＩＴ−ＢＯＸ２２０からのＭＦＰ３２０へのログイン要求が発生する。ＭＦＰ３２０のユーザ情報３０４から当該ユーザが削除されていると、ＩＴ−ＢＯＸ２２０からのログイン要求が失敗する。ＩＴ−ＢＯＸ２２０は、ログイン要求が失敗すると、ＩＴ−ＢＯＸ２２０の設定情報管理２１２よりＭＦＰ３２０の設定情報管理３０３に対しユーザ追加を要求する。ＭＦＰ３２０の設定情報管理３０３によりＭＦＰ３２０のユーザ情報３０４にユーザを追加する。また、ＩＴ−ＢＯＸ２２０からＭＦＰ３２０へのログイン要求時だけでなく、一定時間間隔でもお互いのユーザ情報の変化(追加・削除・変更)を確認し合い、変化をお互いのユーザ情報に反映する。
【０１００】
ＭＦＰ３２０でユーザ情報が変更された場合、ＩＴ−ＢＯＸ２２０とＭＦＰ３２０間のユーザ情報は、ＩＴ−ＢＯＸ２２０からＭＦＰ３２０へのログイン要求時に、ＩＴ−ＢＯＸ２２０の設定情報管理２１２とＭＦＰ３２０の設定情報管理３０３間で、お互いのユーザ情報の変化(追加・削除・変更)を確認し合い、変化をお互いのユーザ情報に反映する。また、ＩＴ−ＢＯＸ２２０からＭＦＰ３２０へのログイン要求時だけでなく、一定時間間隔でもお互いのユーザ情報の変化(追加・削除・変更)を確認し合い、変化をお互いのユーザ情報に反映する。
【０１０１】
以上、本実施形態によれば、実施形態１と同様に、ＩＴ−ＢＯＸをWindowsサーバとＭＦＰ間に仲介させることで、ＩＴ−ＢＯＸにWindowsサーバが管理するドメインへの参加のために特別な対応を施すことなく、ＭＦＰをWindowsサーバのドメインに参加させ、またWindowsサーバが管理するポリシーを適用することができる。
【０１０２】
なおまた、ＩＴ−ＢＯＸが仲介役となることでWindowsサーバ、ＭＦＰの何れの立場からも管理する機器がＩＴ−ＢＯＸ一つだけであるので、今後のシステム(Windowsサーバ、ＩＴ−ＢＯＸ、ＭＦＰ)の拡張を考える上でもＩＴ−ＢＯＸでシステム内のバージョンアップなどによる差異を吸収することができる。そして、ＩＴ−ＢＯＸをWindowsサーバとＭＦＰ間に仲介させることで、ユーザ情報の同期を行う為、サーバ側にアプリケーションを導入する必要や、Windowsサーバ側の設定を変更する必要もない。よって管理者の余計な負担や手間を与えることもなく、新たなセキュリティホールに懸念する必要もなくなるという効果も有する。
【０１０３】
[実施形態３]
図１０は、本実施形態に係るネットワーク環境の一例を示す。図に示されるように、Windowsサーバ１００、ＩＴ−ＢＯＸ２００、ＭＦＰ３００に加え、ＭＦＰ３００−２、ＭＦＰ３００−３がネットワークを介して接続される。
【０１０４】
実施形態１において、ＩＴ−ＢＯＸ２００が仲介役となって、Windowsサーバ１００で管理するポリシーを含めたユーザー情報の一元管理をWindows OSとは異なるOSを搭載しているＭＦＰ３００に対しても適用できることを説明した。本実施形態３では、ＩＴ−ＢＯＸ２００は1台のＭＦＰ３００のみならず、複数台のＭＦＰ３００を接続でき、同様の仲介的動作を行える。図に示されるように、1つのＩＴ−ＢＯＸ２００に対して、３台のＭＦＰ３００、ＭＦＰ３００−２、ＭＦＰ３００−３、が接続される様子が示されている。
【０１０５】
また実施形態２においても、ＩＴ−ＢＯＸ２２０が仲介役となって、Windowsサーバ１００で管理するポリシーを含めたユーザー情報の一元管理をWindows OSとは異なるOSを搭載しているＭＦＰ３２０に対しても適用できることを説明した。本実施形態３では、同様に、ＩＴ−ＢＯＸ２２０は1台のＭＦＰ３２０のみならず、複数台のＭＦＰ３２０を接続でき、同様の仲介的動作を行える。図に示されるように、1つのＩＴ−ＢＯＸ２２０に対して、３台のＭＦＰ３２０、ＭＦＰ３２０−２、ＭＦＰ３２０−３、が接続される様子が示されている（符号は括弧書きで示されるもの）。
【０１０６】
ＩＴ−ＢＯＸ２２０の設定情報管理２１２が主(マスター)となり、それぞれのＭＦＰの設定情報管理３０３、３０３−２、３０３−３などと同期し、ＩＴ−ＢＯＸ２２０のユーザ情報２１１と、それぞれのＭＦＰのユーザ情報３０４、３０４−２、３０４−３などとデータ同期する。同期方法例は、上述したとおりでＩＴ−ＢＯＸ２２０からＭＦＰへのログイン要求時及び一定時間間隔でもお互いのユーザー情報の変化(追加・削除・変更)を確認し合うことでその変化をお互いのユーザー情報に反映する。
【０１０７】
以上のように、ＩＴ−ＢＯＸが複数台のＭＦＰを接続し、上述の仲介的動作を行うので、複数台のＭＦＰに対してもＭＦＰ側に変更を加えることなく、今後のシステムバージョンアップなどによる拡張をＩＴ−ＢＯＸで吸収することができる。
【０１０８】
以上、本発明によれば、Windowsネットワーク環境下に非Windowsシステムが導入される場合、非Windowsシステムに対し、Windowsサーバの管理するユーザ等のポリシーを出来る限り容易に適用できるようにした情報処理装置等を提供できる。
【０１０９】
本発明は係る特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。
【符号の説明】
【０１１０】
１００ Windowsサーバ
１０１ ポリシー管理部
１０２ パスワードポリシー１０２
１０３ アカウントロックアウトポリシー
１０４ Windows Updateポリシー
１０５ 設定情報管理部
１０７ 共有フィルダポリシー
１０６ ユーザ情報
２００ ＩＴ−ＢＯＸ
２０１ Windows
２０３ セッション管理部
２０４ Windows サーバ認証処理部
２０５ ポリシー管理部
２０６ レジストリ
２０７ フィルタ部
２０８ ポリシーフィルタ
２０９ レジストリ
２１０ ＭＦＰ認証処理部
２１１ ユーザ情報
２１２ 設定情報管理部
２１３ パスワードフィルタ部
２１４ アカウント管理部
２１５ ログ管理部
２１６ 操作部
２２０ ＩＴ−ＢＯＸ
３００ ＭＦＰ
３０２ リクエスト管理部
３０３ 設定情報管理部
３０４ ユーザ情報
３０５ セッション管理部
３０６ 認証処理部
３０７ ポリシー管理部
３０８ 操作部
３２０ ＭＦＰ
３２０−２ ＭＦＰ
３２０−３ ＭＦＰ
【先行技術文献】
【特許文献】
【０１１１】
【特許文献１】特開２００５−２８４９５０号
【技術分野】
【０００１】
本発明は、情報処理装置、ポリシー適用方法、プログラム、及びシステムの分野に関する。
【背景技術】
【０００２】
従来より、Windows（登録商標：以下当該表記は省略）サーバは、Active Directoryによりドメインを構築できることが知られている。Active Directoryとはディレクトリサービスを提供するものであり、ネットワーク用語でディレクトリは、ネットワークオブジェクトの情報を格納する入れ物を意味する。ユーザがログインするときに使うユーザカウント、ユーザが使用するコンピュータのコンピュータアカウント、コンピュータ上にあるファイルを共有する共有フォルダ、ユーザがネットワーク経由で印刷するプリンタなどはすべてActive Directoryのオブジェクトに含まれる。ディレクトリサービスは、ディレクトリ内の情報を管理者やユーザなどが利用できるようにするサービスである。ディレクトリサービスにより、ネットワークオブジェクトの検索やアクセスができ、またそのネットワークオブジェクトの一元管理をすることができる。
【０００３】
またActive Directoryでは、ユーザやユーザグループ毎のポリシーについても一元管理可能である。規定されるポリシーにより、セキュリティの設定、Windowsデスクトップのカスタマイズ、アプリケーションの配布などが行える。例えば、ポリシーの具体例として、パスワードポリシー、アカウントロックポリシー、Windows Update（登録商標：以下当該表記は省略）ポリシー、共有フォルダポリシーなどが挙げられる。
【０００４】
このような上記Active Directoryの機能を利用して、管理者はネットワーク環境下においてWindowsサーバによりユーザ又はユーザグループ単位で、ユーザ名、パスワード、ポリシーなどのユーザ情報を一元的に管理することができる。ここで、上記ネットワーク環境下において、例えばＭＦＰ（多機能周辺装置：Multifunction Peripheral）を導入する場合、特にそのＭＦＰがWindowsとは異なるOS（例えばUnix（登録商標）系）を搭載しているシステムであると、既設のWindowsサーバが管理するポリシーにはWindows特有のポリシーも含まれているため、管理者が一元管理するユーザ情報をＭＦＰに適用し、Windowsサーバの管理下にそのまま入ることは難しいという問題がある。
【０００５】
これに関連する技術として、特許文献１には、Windows（Ｒ）等のOS(Operating System)により管理されているユーザ情報とジョブアカウントシステムにより管理されているユーザ情報との同期を自動的に行なうことが可能なジョブ管理装置の発明が記載されている。
【０００６】
なお、上記ＭＦＰは、特に多機能プリンタ（Multifunction Printer）の略称として認識される場合も少なくない。従って本明細書においてのＭＦＰは、ファックス、プリンタ、コピーおよびスキャナなどの各装置の機能を１つの筐体内に収納した画像形成装置であるものとする。
【発明の概要】
【発明が解決しようとする課題】
【０００７】
さて実際、上述のように既にWindowsサーバを構築し、Windowsクライアントのユーザに対して規定された各種ポリシーを適用しながらユーザ管理、運用しているネットワーク環境（顧客ネットワーク環境下）において、非Windows OSのＭＦＰが導入される場合がある。そして、ＭＦＰが既存ネットワーク環境下に接続される以上、管理者としては導入するＭＦＰについてもできるだけWindowsサーバでそのユーザ情報を管理し、またユーザ（又はユーザグループ）に対して規定されるポリシーも適用したいという要請があった。
【０００８】
しかし、実際そのOSの違いからWindowsサーバのポリシーをＭＦＰにそのまま適用することは難しく、それでも実現しようとすると場合によってはWindowsサーバ又はＭＦＰ側に対して相当な作り込みをしたり、特別なアプリケーションを付加しなくてはならず（例えば特許文献１参照）、既存Windowsネットワーク環境下にＭＦＰを容易に適用できないという問題があった。
【０００９】
即ち、ユーザ又はユーザグループ単位で、ユーザ名、パスワード、ポリシーなどのユーザ情報が一元的に管理されるWindowsネットワーク環境下において、非Windows OSのＭＦＰが導入されるとき、ＭＦＰ導入の敷居を下げられるよう、ＭＦＰが容易に既存のWindowsポリシーの枠組みに参加可能な構成が望まれる。
【００１０】
本発明では上記のような問題に鑑みて、Windowsネットワーク環境下に非Windowsシステムが導入される場合、非Windowsシステムに対し、Windowsサーバの管理するユーザ等のポリシーを出来る限り容易に適用できるようにした情報処理装置、ポリシー適用方法、プログラム、及びシステムを提供することを目的とする。
【課題を解決するための手段】
【００１１】
そこで上記課題を解決するため、本発明に係る情報処理装置は、第１のＯＳを有し、情報処理装置に対しまた情報処理装置のユーザ又はユーザグループに対しポリシーを適用するサーバと、２のＯＳを有する第２の情報処理装置と、ネットワークを介して接続される第１のＯＳを有する第１の情報処理装置であって、前記サーバから前記ポリシーを取得し保存するポリシー管理手段と、前記第１のＯＳから前記第２のＯＳへ適用可能なポリシーが規定されたフィルタポリシーに基づき、前記ポリシー管理手段により保存されたポリシーをフィルタリングするフィルタ手段と、を有し、前記フィルタリングされたポリシーは、前記第２の情報処理装置若しくは前記第２の情報処理装置ユーザ又はユーザグループに適用されることを特徴とする。
【００１２】
また上記課題を解決するため、前記情報処理装置において、前記サーバが管理するユーザ情報及び第２の情報処理装置が管理するユーザ情報と、自装置が管理するユーザ情報とを同期させる同期手段と、を有することを特徴とする。
【００１３】
また上記課題を解決するため、前記情報処理装置において、複数の前記第２の情報処理装置が接続され、前記フィルタリングされたポリシーは、複数の前記第２の情報処理装置若しくは複数の前記第２の情報処理装置ユーザ又はユーザグループに適用される。
【００１４】
なお、本発明の構成要素、表現または構成要素の任意の組合せを、方法、装置、システム、コンピュータプログラム、記録媒体、などに適用したものも本発明の態様として有効である。
【発明の効果】
【００１５】
本発明によれば、Windowsネットワーク環境下に非Windowsシステムが導入される場合、非Windowsシステムに対し、Windowsサーバの管理するユーザ等のポリシーを出来る限り容易に適用できるようにした情報処理装置、ポリシー適用方法、プログラム、及びシステムを提供することができる。
【図面の簡単な説明】
【００１６】
【図１】本実施形態に係るネットワーク環境の一例を示す。
【図２】本実施形態に係るWindowsサーバ１００、ＩＴ−ＢＯＸ２００、及びＭＦＰ３００の主要機能構成を示す機能ブロック図である。
【図３】各種ポリシーの具体例を示す。
【図４】フィルタリングされたポリシーの具体的を示す。
【図５】ＭＦＰ３００、ＩＴ−ＢＯＸ２００、Windowsサーバ１００の処理を説明するフローチャートである。
【図６】本実施形態に係るWindowsサーバ１００、ＩＴ−ＢＯＸ２２０、及びＭＦＰ３２０の主要機能構成を示す機能ブロック図である。
【図７】ユーザ情報２１１の具体例を示す。
【図８】ＭＦＰ３２０、ＩＴ−ＢＯＸ２２０、Windowsサーバ１００の処理を説明するフローチャートである。
【図９】イベント情報の一例を示す。
【図１０】本実施形態に係るネットワーク環境の一例を示す。
【発明を実施するための形態】
【００１７】
本発明を実施するための形態を各実施形態において図面を用いて説明する。なお、本発明を説明するにあたって、情報処理装置の一実施形態であるＭＦＰ（画像形成装置）に本発明を適用した例を以下に示す。ＭＦＰは、プリンタ、コピーおよびスキャナなどの複数の機能を一つの筐体内に収納した画像形成装置である。またこれら基本機能だけでなく、デジタル画像技術の高度化やＭＦＰに関連する技術の進化に伴い多彩な機能を有し、ユーザ環境において様々な利用形態を提供している。
【００１８】
[実施形態１]
＜ネットワーク環境＞
図１は、本実施形態に係るネットワーク環境の一例を示す。図に示されるように、Windowsサーバ１００、情報処理装置（以下IT-BOXと称する）２００、ＭＦＰ３００が、ネットワークを介して接続される。
【００１９】
Windowsサーバ１００は、管理者によりActive Directoryの機能を有して構築され、Windowsネットワーク環境下において、ユーザやユーザグループ、ポリシー（詳細後述）を管理しているサーバである。ＩＴ−ＢＯＸ２００は、ＭＦＰ３００の導入に伴い付随して導入された情報処理装置であり、そのOSはWindows（例えばWindows XP Professional等）により動作するシステムである。ＩＴ−ＢＯＸ２００は、その仲介的動作（詳細後述）により非WindowsシステムであるＭＰＦ３００に対して、Windowsサーバ１００の管理するユーザやユーザグループのポリシーを適用させる。ＭＦＰ３００は、Windowsネットワーク環境下に導入された画像形成装置であり、非Windows OS（例えばUnix（登録商標）、Linux等）により動作するシステムである。またネットワークには、例えばWindows XP ProfessionalなどのWindows OSにより動作するWindowsクライアントを接続できる（非図示）。
【００２０】
このように本実施形態に係るネットワーク環境では、Windowsサーバ１００によるWindowsネットワークに、Windows OSにより動作するＩＴ−ＢＯＸ２００及び非Windows OSにより動作するＭＦＰ３００が接続される。
【００２１】
＜機能＞
図２は、本実施形態に係るWindowsサーバ１００、ＩＴ−ＢＯＸ２００、及びＭＦＰ３００の主要機能構成を示す機能ブロック図である。以下、順に各装置について説明していく。
【００２２】
（Windowsサーバ）
図に示されるように、Windowsサーバ１００は主な機能として、ポリシー管理部１０１、設定情報管理部１０５を有し、パスワードポリシー１０２、アカウントロックアウトポリシー１０３、Windows Updateポリシー１０４、共有フィルダポリシー１０７、ユーザ情報１０６を保持している。Windowsサーバ１００において、ポリシー管理部１０１、設定情報管理部１０５はActive Directoryにより実現されており、Active Directoryによりドメインを構築している。
【００２３】
設定情報管理部１０５はユーザ情報１０６を管理し、ユーザ情報１０６には、ユーザが使用するクライアントコンピュータのコンピュータアカウント、ユーザがログインするときに使うユーザカウント（ユーザ名とパスワード）が登録されている。Active Directoryドメインに参加するWindowsクライアントは、コンピュータ起動時やユーザログイン時にWindowsサーバ１００の設定情報管理１０５を介しユーザ情報１０６に問い合わせ、入力されたアカウントでログインできるか否かの認証がなされる。そしてWindowsクライアントに対して、Windowsサーバ１００へのログインを許可する又は許可しない、の認証結果が返信される。なおユーザ情報１０６は、ユーザカウントがグループ化されている場合、複数のユーザメンバから構成されるユーザグループ情報を含んでいる。
【００２４】
ポリシー管理部１０１は、ユーザやユーザグループ（以下単にグループという）に適用すべきポリシーを管理している。ポリシーは、ユーザやグループ毎に応じて適用させるべきルールが規定されているものであり、本実施形態では一実施例として、パスワードポリシー１０２、アカウントロックポリシー１０３、Windows Updateポリシー１０４、共有フォルダポリシー１０７が示されている。図３に、各種ポリシーの具体例を示す。
【００２５】
パスワードポリシー１０２では、例えば「パスワードの長さ」、「パスワードの変更禁止期間」、「パスワードの有効期間」、「パスワードの履歴記録」、「パスワードの複雑さ」などが規定される。アカウントロックポリシー１０３では、例えば何回ログインに失敗したらアカウントをロックしログインできないようするかの「アカウントロック閾値」、ログオンに失敗した回数を何分後にリセットするかの「ロックアウトカウントのリセット」、ロックアウトされたアカウントを何分後に自動的にロックアウト解除するかの「ロックアウト期間」などが規定される。Windows Updateポリシー１０４では、Windowsシステムソフトウェアのアップデートを自動更新するか否かを設定する「自動更新を構築する」、アップデートするソフトウェアの検出時間を設定する「自動更新の検出頻度」、ソフトウェアのインストールをダウンロード後すぐに行うか否かを設定する「自動更新を直ちにインストールすることを許可する」などが規定される。共有フォルダポリシー１０７では、ユーザが共有フォルダをActive Directoryに公開するか否かの設定が規定される。
【００２６】
このようにポリシー管理１０１は、各種ポリシーの設定を行うとともに、ユーザやグループに応じて適用すべきポリシー及びそのポリシーの規定値の読み出しを行う。
【００２７】
なお、上記ポリシーは次の２種類に分類できる。１つは、Windows クライアント（例えばＩＴ−ＢＯＸ２００）の起動時に反映され、どのユーザカウントでログインしてもそのWindows クライアントに適用される「コンピュータの構成」に関するポリシーがある。もう１つは、起動後、ユーザカウントによるログイン時に伴い適用され、どのWindows クライアントでログインしても、そのユーザカウントに適用される「ユーザの構成」ポリシーがある。パスワードポリシー１０２及びアカウントロックポリシー１０３は、「コンピュータの構成」ポリシーに分類され、Windows Updateポリシー１０４及び共有フォルダポリシー１０７は、「ユーザの構成」ポリシーに分類できる。「コンピュータの構成」ポリシーと「ユーザの構成」ポリシーが適用されるタイミングは、上記の他に定期的(例えば９０分毎)にも適用されうる。
【００２８】
（IT-BOX）
図に示されるように、ＩＴ−ＢＯＸ２００は主な機能として、セッション管理部２０３、Windows サーバ認証処理部２０４、ポリシー管理部２０５、レジストリ２０６、フィルタ部２０７、ポリシーフィルタ２０８、レジストリ２０９を有している。
【００２９】
ＩＴ−ＢＯＸ２００は、ＭＦＰ３００の導入に伴い付随して導入された情報処理装置であり、そのOSはWindows（例えばWindows XP Professional等）により動作するシステムである。従ってＩＴ−ＢＯＸ２００は、Windowsドメイン(Active Directoryのドメイン含む)に参加するWindows２０１の機能が備わっている。一方Windows２０１の枠外に示される機能ブロック（セッション管理２０３、フィルタ部２０７、フィルタポリシー２０８、レジストリ２０９等）は、ＩＴ−ＢＯＸ用ソフトウェアとして組み込まれている機能である。
【００３０】
セッション管理部２０３は、主にセッション管理を司り、例えばWindowsサーバ１００、ＭＦＰ３００とのセッションを管理する機能部である。
【００３１】
Windows２０１内のWindows サーバ認証処理部２０４は、Windowsサーバ１００のActive Directoryドメインへの参加機能を有しており、例えばＭＦＰ３００の操作部３０８から入力されたユーザ名とパスワードを用いて、セッション管理２０３を経由しWindowsサーバ１００にログインを行う。つまり、ＭＦＰ３００で入力されたユーザ名とパスワードを使用して、仲介的にWindowsサーバの設定情報管理１０５に問い合わせ、Directoryドメインへログインできるかの認証を行う。Windowsドメインへの参加が許可された場合（又は失敗した場合）、ＭＦＰ３００の操作部３０８にその旨表示させる。
【００３２】
ここで、ＩＴ−ＢＯＸ２００がWindowsサーバ１００へのログインに成功すると、Windowsサーバ１００のActive Directoryドメインへの参加機能でログインすることになる。よって、ポリシー管理部２０５は、ログインしたユーザに適用されるポリシー(この場合「ユーザの構成」ポリシーであるWindows Updateポリシーと共有フォルダポリシー)を、Windowsサーバ１００からポリシー管理１０１を介して読み出し、Windows２０１内のレジストリ２０６に保存（反映）しておく。
【００３３】
また、「コンピュータの構成」ポリシーであるパスワードポリシーとアカウントロックポリシーは、ＩＴ−ＢＯＸ２００の起動時にコンピュータアカウントによる認証を経て、Windows２０１内のポリシー管理２０５によりレジストリ２０６に既に保存（反映）されている。ＩＴ−ＢＯＸ２００はWindowsをベースとするシステムであるため、Windowsサーバ１００からのポリシーはＩＴ−ＢＯＸ２００自身にも当該ポリシーが反映される。例えば、ＩＴ−ＢＯＸ２００がWindowsサーバ１００への起動時ログインが成功すると、「コンピュータの構成」ポリシーが適用されるため、パスワードポリシーに反する場合、これを満たさせるように動作し、また共有フォルダのActive Directoryへの公開設定が「有効」に設定されている場合はＩＴ−ＢＯＸ２００内の共有フォルダがActive Directoryへ公開される。
【００３４】
フィルタ部２０７は、フィルタポリシー２０８に基づいてレジストリ２０６のポリシーのフィルタを行う。上述のように、Windowsサーバ１００のポリシーはレジストリ２０６に保存されている。ここで、パスワードポリシー１０２、アカウントロックアウトポリシー１０３、共有フォルダポリシーはＭＦＰ３００に適用可能なポリシーであるが、Windows Updateポリシー１０４は非Windows OSのＭＦＰ３００には適用できないポリシーである。このようにフィルタポリシー２０８には、予めＭＦＰ３００に適用可能、不可能なポリシーが規定されているので、フィルタ部２０７は、フィルタポリシー２０８を参照し、レジストリ２０６に保存されているポリシーからＭＦＰ３００に適用できないポリシーをフィルタリングする。フィルタリングされたポリシーは、レジストリ２０９に保存しておく。
【００３５】
図４は、フィルタリングされたポリシーの具体的を示す。フィルタリングされた、即ちＭＦＰ３００に適用しうるポリシーとして、パスワードポリシー、アカウントロックアウトポリシー、共有フォルダポリシーが記述されている。フィルタリングされＭＰＦ３００に適用されるポリシーは、ＭＦＰ３００のポリシー管理３０８に反映される。
【００３６】
（ＭＦＰ）
上述のようにＭＦＰ３００は、Windowsサーバ１００及びＩＴ−ＢＯＸ２００とは異なる種類のOSによる画像形成装置システムである。図に示されるように、ＭＦＰ３００は主な機能として、リクエスト管理部３０２、セッション管理部３０５、認証処理部３０６、ポリシー管理部３０７、操作部３０８を有している。
【００３７】
操作部３０８は、ユーザカウント（ユーザ名とパスワード）を入力するログイン画面を表示する。操作部３０８からユーザカウントが入力されると、リクエスト管理部３０２、セッション管理部３０５を介して、ＩＴ−ＢＯＸ２００のWindows サーバ認証処理部２０４に認証のリクエストを行う。ＩＴ−ＢＯＸ２００のWindows サーバ認証処理部２０４は、ＭＦＰ３００の操作部３０８から入力されたユーザ名とパスワードを用いて、セッション管理２０３を経由しWindowsサーバ１００にログインを行う。
【００３８】
ポリシー管理部３０７は、ＩＴ−ＢＯＸ２００のレジストリ２０９からフィルタリングされたポリシーを取得、参照する。そしてポリシーに従うように動作を行う。ＩＴ−ＢＯＸ２００の仲介によりWindowsサーバ１００にて認証（認証成功）されると、上述したようにＩＴ−ＢＯＸ２００にていわばＭＦＰ３００用のフィルタリングされたポリシーがレジストリ２０９に保存されているので、ポリシー管理部３０７は、ＩＴ−ＢＯＸ２００のレジストリ２０９からフィルタリングされたポリシーを取得し、当該ポリシーに適合しない場合にはＭＦＰ３００が当該ポリシーに従うように動作を行う。例えば、Ｔ−ＢＯＸ２００のレジストリ２０９からフィルタリングされたポリシーにおいて、パスワードポリシーの「パスワードの有効期限」がＭＰＦ３００に適用され、当該ユーザカウントのパスワードの有効期限が切れている場合、操作部３０８にはパスワードの有効期限が切れている旨のメッセージが表示され、パスワードの変更をユーザに促す。また例えば、共有フォルダポリシーが当該ユーザカウントに適用される場合、共有フォルダのActive Directoryへの公開設定が「有効」に設定されていれば、ＭＦＰ３００にて保管されているデータ(文書データなど)を、Active Directoryへ公開する。
【００３９】
認証処理部３０６は、ＩＴ−ＢＯＸ２００の仲介によりWindowsサーバ１００にて認証（認証成功）されると、ＭＦＰ３００自身へのログイン処理を行う。また当該ポリシーに適合しない場合にはＭＦＰ３００が当該ポリシーに従うように動作を行い、ポリシーに適合した後、ＭＦＰ３００自身へのログイン処理を行う。
【００４０】
＜動作＞
図５は、ＭＦＰ３００、ＩＴ−ＢＯＸ２００、Windowsサーバ１００の処理を説明するフローチャートである。上述と重複する点もあるが以下確認的に説明を行う。
【００４１】
ＭＦＰ３００の操作部３０８は、ユーザカウント（ユーザ名とパスワード）を入力するログイン画面を表示する。ユーザにより操作部３０８からユーザカウントが入力されると（Ｓ５０１）、リクエスト管理部３０２、セッション管理部３０５を介して、ＩＴ−ＢＯＸ２００のWindows サーバ認証処理部２０４に認証のリクエストを行う（Ｓ５０２）。
【００４２】
ＩＴ−ＢＯＸ２００のWindows サーバ認証処理部２０４は、ＭＦＰ３００の操作部３０８から入力されたユーザ名とパスワードを用いて、セッション管理２０３を経由しWindowsサーバ１００にログイン要求を行う（Ｓ５０３）。
【００４３】
Windowsサーバ１００の設定情報管理部１０５は、入力されたユーザ名とパスワードを用いて、ユーザ情報１０６に基づきログイン認証を行う（Ｓ５０４）。ここでは入力されたユーザ名とパスワードがユーザ情報１０６に登録されており認証は成功とする。なお認証失敗の場合はその旨ＩＴ−ＢＯＸ２００に通知すればよい。最終的にＭＦＰ３００に通知され、ＭＦＰ３００の操作部３０８に認証失敗の旨、表示される。
【００４４】
認証が成功すると、Windowsサーバ１００のポリシー管理部１０１は、当該ユーザカウント（又は属するグループ）に適用すべきポリシーをＩＴ−ＢＯＸ２００へ通知する（Ｓ５０５）。
【００４５】
ＩＴ−ＢＯＸ２００のポリシー管理部２０５は、通知されたポリシーをWindows２０１内のレジストリ２０６に保存（反映）する（Ｓ５０６）。
【００４６】
ＩＴ−ＢＯＸ２００のフィルタ部２０７は、フィルタポリシー２０８を参照し、レジストリ２０６に保存されているポリシーからＭＦＰ３００に適用できないポリシーをフィルタリングする（Ｓ５０７）。そしてフィルタリングされたポリシーをレジストリ２０９に保存する（Ｓ５０８）。
【００４７】
またＩＴ−ＢＯＸ２００のセッション管理部２０３は、ＭＦＰ３００のセッション管理部３０５に対して、認証結果を通知する（Ｓ５０９）。
【００４８】
ＭＦＰ３００のポリシー管理部３０７は、認証成功の通知を受けて、ＩＴ−ＢＯＸ２００のレジストリ２０９からフィルタリングされたポリシーを取得、参照する（Ｓ５１０）。
なおフィルタリングされたポリシーは認証結果（認証成功の場合）とともに通知してもよい。
【００４９】
そしてポリシー管理部３０７は、当該ポリシーへの適合判定を行う（Ｓ５１１）。当該ポリシーに適合しない場合、ＭＦＰ３００が当該ポリシーに従うように適合処理動作を行う（Ｓ５１２）。例えば、ＩＴ−ＢＯＸ２００のレジストリ２０９からフィルタリングされたポリシーにおいて、パスワードポリシーの「パスワードの有効期限」がＭＰＦ３００に適用され、当該ユーザカウントのパスワードの有効期限が切れている場合、操作部３０８にはパスワードの有効期限が切れている旨のメッセージを表示し、ポリシーに適合するようにパスワードの変更をユーザに促す。
【００５０】
一方、当該ポリシーに適合している場合（Ｓ５１１）、ＭＦＰ３００の認証処理部３０６は、ＩＴ−ＢＯＸ２００の仲介によりWindowsサーバ１００にて認証（認証成功）しているので、続いてＭＦＰ３００自身へのログイン処理を行う（Ｓ５１３）。また当該ポリシーに適合していない場合にはＭＦＰ３００が当該ポリシーに従うように動作を行い、ポリシーに適合した後、ＭＦＰ３００自身へのログイン処理を行う。
【００５１】
以上のように、既にWindowsサーバでユーザー及びグループ単位で、ユーザー名・パスワード、ポリシーなどのユーザ情報を一元的に管理しているユーザー環境に、多機能周辺装置ＭＦＰを導入する場合、特にＭＦＰがWindowsとは異なるOSを搭載していると、Windowsサーバが管理するポリシーにはWindows特有のポリシーも含まれており、管理者が一元管理するユーザ情報にＭＦＰもその管理下にそのまま入ることが困難である。本実施形態によれば、ＩＴ−ＢＯＸをWindowsサーバとＭＦＰ間に仲介させることで、ＩＴ−ＢＯＸにWindowsサーバが管理するドメインへの参加のために特別な対応を施すことなく、ＭＦＰをWindowsサーバのドメインに参加させ、またWindowsサーバが管理するポリシーを適用することができる。
【００５２】
なおまた、ＩＴ−ＢＯＸが仲介役となることでWindowsサーバ、ＭＦＰの何れの立場からも管理する機器がＩＴ−ＢＯＸ一つだけであるので、今後のシステム(Windowsサーバ、ＩＴ−ＢＯＸ、ＭＦＰ)の拡張を考える上でもＩＴ−ＢＯＸでシステム内のバージョンアップなどによる差異を吸収することができる。
【００５３】
[実施形態２]
上述の実施形態１において、ＩＴ−ＢＯＸ２００は、ＭＦＰ３００とWindows サーバ１００のやり取りについて仲介的な動作を行うことにより、非Windows OSのＭＦＰ３００に対してWindows ドメイン下における各種ポリシーを適用させた。本実施形態２においては、ＩＴ−ＢＯＸ２００を実装レベルにより近づけた装置とした上で本発明の適用を行う。
【００５４】
ＩＴ−ＢＯＸ２２０は、Windows２０１をベースとした装置であり、ＭＦＰ３２０のオプション的な位置づけの装置である。ＭＦＰ３２０には、各種画像形成機能が実装されているが、ＭＦＰ３２０は概して、コピー・ファクス・スキャン・プリントなどの基本機能およびそのH/W制御を行うソフトウェア実装が中心である。一方、ＭＦＰ３２０に連携するように装着したＩＴ−ＢＯＸ２２０は、ＭＦＰ３２０のコピー・ファクス・スキャン・プリントなどの基本機能より取得された画像データや情報などを用いて、画像データの大容量蓄積や高度な画像処理など、付加価値機能を提供できるようになっている。このようなＩＴ−ＢＯＸ２２０の実装レベルの役割からすると、そのOSには汎用的なWindows OSが採用されることが望ましい。短期間で高品質な付加価値機能（ソフトウェア）の開発、提供が容易だからである。
【００５５】
即ち本実施形態２において、ＩＴ−ＢＯＸ２２０は、ＭＦＰ３２０の導入に伴い、より付加価値的な画像形成処理機能を提供するために付随して導入された情報処理装置であり、そのためそのOSはWindows（例えばWindows XP Professional等）により動作するシステムになっている。以下説明する。
【００５６】
＜機能＞
図６は、本実施形態に係るWindowsサーバ１００、ＩＴ−ＢＯＸ２２０、及びＭＦＰ３２０の主要機能構成を示す機能ブロック図である。上述の実施形態１（図２）と比べ、Windowsサーバ１００は同様であり、ＩＴ−ＢＯＸ２２０及びＭＦＰ３２０においてはその構成がやや異なる。本実施形態にて想定されるネットワーク環境は、上述の実施形態１（図１）と同様である。以下説明を進めるが、実施形態１と同様の点などその説明を省略又は簡略する場合がある。
【００５７】
（IT-BOX）
図に示されるように、ＩＴ−ＢＯＸ２２０は主な機能として、セッション管理部２０３、Windows サーバ認証処理部２０４、ポリシー管理部２０５、レジストリ２０６、フィルタ部２０７、ポリシーフィルタ２０８、レジストリ２０９に加え、ＭＦＰ認証処理部２１０、設定情報管理部２１２、パスワードフィルタ部２１３、ログ管理部２１５、アカウント管理部２１４、操作部２１６、ユーザ情報２１１を有している。
【００５８】
ＩＴ−ＢＯＸ２２０は、ＭＦＰ３２０の導入に伴い付随して導入された情報処理装置であり、そのOSはWindows（例えばWindows XP Professional等）により動作するシステムである。従ってＩＴ−ＢＯＸ２２０は、Windowsドメイン(Active Directoryのドメイン含む)に参加するWindows２０１の機能が備わっている。一方Windows２０１の枠外に示される機能ブロック（セッション管理２０３、フィルタ部２０７、フィルタポリシー２０８、レジストリ２０９、ＭＦＰ認証処理部２１０、設定情報管理部２１２、操作部２１６等）は、ＩＴ−ＢＯＸ用ソフトウェアとして組み込まれている機能である。
【００５９】
ＩＴ−ＢＯＸ２２０は、Windows２０１をベースとした装置であり、ＭＦＰ３２０のオプション的な位置づけの装置である。ＭＦＰ３２０には、各種画像形成機能が実装されているが、ＭＦＰ３２０は概して、コピー・ファクス・スキャン・プリントなどの基本機能およびそのH/W制御を行うソフトウェア実装が中心である。一方、ＭＦＰ３２０に連携するように装着したＩＴ−ＢＯＸ２２０は、ＭＦＰ３２０のコピー・ファクス・スキャン・プリントなどの基本機能より取得された画像データや情報などを用いて、画像データの大容量蓄積や高度な画像処理など、付加価値機能を提供できるようになっている。
【００６０】
ＩＴ−ＢＯＸ２２０に汎用的なWindows OSを採用するのは、短期間で高品質な付加価値機能の開発、提供が容易だからである。理由としては、既に製品化されているWindowsベースのソフトウェアやドライバー及びWindowsの標準機能をそのまま採用できる点、開発人口が多い点、開発統合環境(Visual Studio等)のリモートデバッグ機能など、デバッグ環境が充実している点、などが挙げられる。
【００６１】
設定情報管理部２１２は、ＩＴ−ＢＯＸ２２０が管理するユーザ情報２１１を管理する。Windowsサーバ１００のユーザ情報１０６と、ＩＴ−ＢＯＸ２２０のユーザ情報２１１は別々に管理されるものであるが、ユーザ名などのユーザを判別する情報は基本的に共通である。即ちユーザは共通であるが、ＩＴ−ＢＯＸ２２０で管理されるユーザ情報２１１には、ＩＴ−ＢＯＸソフトウェア固有の情報が含まれる。図７は、ユーザ情報２１１の具体例を示す。例えばユーザカウントやユーザ関連情報を含んでいる。
【００６２】
ＭＦＰ認証処理部２１０は、セッション管理部２０３を介し、ＭＦＰ３２０に対してログイン要求を発行する。
【００６３】
操作部２１６は、ユーザ名とパスワードを入力するログイン画面を表示し、ユーザはＩＴ−ＢＯＸ２２０がWindowsサーバ１００にログインする場合、ユーザは操作部２１６からユーザ名とパスワードを入力する。
【００６４】
セッション管理部２０３は、主にセッション管理を司り、例えばWindowsサーバ１００、ＭＦＰ３２０とのセッションを管理する機能部である。
【００６５】
Windows２０１内のWindows サーバ認証処理部２０４は、Windowsサーバ１００のActive Directoryドメインへの参加機能を有しており、例えばＩＴ−ＢＯＸ２２０の操作部２１６から入力されたユーザ名とパスワードを用いて、セッション管理２０３を経由しWindowsサーバ１００にログインを行う。
【００６６】
ここで、ＩＴ−ＢＯＸ２２０がWindowsサーバ１００へのログインに成功すると、Windowsサーバ１００のActive Directoryドメインへの参加機能でログインすることになる。よって、ポリシー管理部２０５は、ログインしたユーザに適用されるポリシー(この場合「ユーザの構成」ポリシーであるWindows Updateポリシーと共有フォルダポリシー)を、Windowsサーバ１００からポリシー管理１０１を介して読み出し、Windows２０１内のレジストリ２０６に保存（反映）しておく。
【００６７】
また、「コンピュータの構成」ポリシーであるパスワードポリシーとアカウントロックポリシーは、ＩＴ−ＢＯＸ２２０の起動時にコンピュータアカウントによる認証を経て、Windows２０１内のポリシー管理２０５によりレジストリ２０６に既に保存（反映）されている。
【００６８】
フィルタ部２０７は、フィルタポリシー２０８に基づいてレジストリ２０６のポリシーのフィルタを行う。上述のように、Windowsサーバ１００のポリシーはレジストリ２０６に保存されている。ここで、パスワードポリシー１０２、アカウントロックアウトポリシー１０３、共有フォルダポリシーはＭＦＰ３２０に適用可能なポリシーであるが、Windows Updateポリシー１０４は非Windows OSのＭＦＰ３２０には適用できないポリシーである。このようにフィルタポリシー２０８には、予めＭＦＰ３２０に適用可能、不可能なポリシーが規定されているので、フィルタ部２０７は、フィルタポリシー２０８を参照し、レジストリ２０６に保存されているポリシーからＭＦＰ３２０に適用できないポリシーをフィルタリングする。フィルタリングされたポリシーは、レジストリ２０９に保存しておく。
【００６９】
（ＭＦＰ）
ＭＦＰ３２０は、Windowsサーバ１００及びＩＴ−ＢＯＸ２００とは異なる種類のOSによる画像形成装置システムである。図に示されるように、ＭＦＰ３２０は、操作部３０８、リクエスト管理部３０２、セッション管理部３０５、認証処理部３０６、ポリシー管理部３０７に加え、設定情報管理部３０３、ユーザ情報３０４を有している。
【００７０】
操作部３０８は、ユーザカウント（ユーザ名とパスワード）を入力するログイン画面を表示する。
【００７１】
ポリシー管理部３０７は、フィルタされたポリシーを読み出して適合しているかどうか確認する。当該ポリシーに適合しない場合にはＭＦＰ３２０が当該ポリシーに従うように動作を行う。
【００７２】
認証処理部３０６は、ＭＦＰ３２０自身へのログイン処理を行う。また当該ポリシーに適合しない場合にはＭＦＰ３２０が当該ポリシーに従うように動作を行い、ポリシーに適合した後、ＭＦＰ３２０自身へのログイン処理を行う。
【００７３】
設定情報管理部３０３は、ＭＦＰ３２０が管理するユーザ情報３０４を管理する。ＩＴ−ＢＯＸ２２０のユーザ情報１０６とＩＴ−ＢＯＸ２２０のユーザ情報２１１とＭＦＰ３２０の管理するユーザ情報３０４とは別々に管理されるものであるが、ユーザ名などのユーザを判別する情報は基本的に共通である。即ちユーザは共通であるが、ＭＦＰ３２０で管理されるユーザ情報３０４には、ＭＦＰ固有の情報（ユーザ毎の画像形成動作権限等）が含まれる。
【００７４】
＜動作＞
図８は、ＭＦＰ３２０、ＩＴ−ＢＯＸ２２０、Windowsサーバ１００の処理を説明するフローチャートである。以下説明を行う。
【００７５】
ＩＴ−ＢＯＸ２２０の操作部２１６は、ユーザカウント（ユーザ名とパスワード）を入力するログイン画面を表示している。ユーザにより操作部２１６からユーザカウントが入力されると（Ｓ８０１）、入力されたユーザ名とパスワードを用いて、ＩＴ−ＢＯＸ２２０のユーザ情報２１１に当該ユーザが存在するか否かを確認してから、セッション管理２０３を経由しWindowsサーバ１００にログイン要求を行う（Ｓ８０２）。
【００７６】
Windowsサーバ１００の設定情報管理部１０５は、入力されたユーザ名とパスワードを用いて、ユーザ情報１０６に基づきログイン認証を行う（Ｓ８０３）。ここでは入力されたユーザ名とパスワードがユーザ情報１０６に登録されており認証は成功とする。なお認証失敗の場合はその旨ＩＴ−ＢＯＸ２２０に通知され、操作部２１６に認証失敗の旨、表示される。
【００７７】
認証が成功すると、Windowsサーバ１００のポリシー管理部１０１は、当該ユーザカウント（又は属するグループ）に適用すべきポリシーをＩＴ−ＢＯＸ２２０へ通知する（Ｓ８０４）。
【００７８】
ＩＴ−ＢＯＸ２２０のポリシー管理部２０５は、通知されたポリシーをWindows２０１内のレジストリ２０６に保存（反映）する（Ｓ８０５）。
【００７９】
ＩＴ−ＢＯＸ２２０のフィルタ部２０７は、フィルタポリシー２０８を参照し、レジストリ２０６に保存されているポリシーからＭＦＰ３２０に適用できないポリシーをフィルタリングする（Ｓ８０６）。そしてフィルタリングされたポリシーをレジストリ２０９に保存する（Ｓ８０７）。
【００８０】
ＭＦＰ認証処理部２１０は、セッション管理部２０３を介し、ＭＦＰ３２０に対してログイン要求を発行する（Ｓ８０８）。
【００８１】
ＭＦＰ３２０のユーザ情報３０４に当該ユーザカウントが存在するか否かを確認してから、ＭＦＰ３２０のポリシー管理部３０７は、ＩＴ−ＢＯＸ２２０のレジストリ２０９からフィルタリングされたポリシーを取得、参照する（Ｓ８０９）。
【００８２】
そしてポリシー管理部３０７は、当該ポリシーへの適合判定を行う（Ｓ８１０）。当該ポリシーに適合しない場合、ＭＦＰ３２０が当該ポリシーに従うように適合処理動作を行う（Ｓ８１１）。例えば、ＩＴ−ＢＯＸ２２０のレジストリ２０９からフィルタリングされたポリシーにおいて、パスワードポリシーの「パスワードの有効期限」がＭＰＦ３０１に適用され、当該ユーザカウントのパスワードの有効期限が切れている場合、操作部３０８にはパスワードの有効期限が切れている旨のメッセージを表示し、ポリシーに適合するようにパスワードの変更をユーザに促す。この場合、設定情報管理部３０３がパスワードの変更を行う。
【００８３】
一方、当該ポリシーに適合している場合（Ｓ８１０）、ＭＦＰ３２０の認証処理部３０６は、続いてＭＦＰ３２０自身へのログイン処理を行う（Ｓ８１２）。また当該ポリシーに適合していない場合にはＭＦＰ３２０が当該ポリシーに従うように動作を行い、ポリシーに適合した後、ＭＦＰ３２０自身へのログイン処理を行う。
【００８４】
＜補足＞
ここで、Windowsサーバ１００で管理する各種ポリシー(パスワードポリシー１０２、アカウントロックアウトポリシー１０３、共有フォルダポリシー１０７)を、異なるOSを搭載しているＭＦＰ３２０にまで適用するには、ユーザのログイン時に適用されるユーザの構成ポリシーも含むため、各装置間(Windowsサーバ１００、ＩＴ−ＢＯＸ２２０、ＭＦＰ３２０)でユーザが同期されていることが実現手段の一つとなる。
【００８５】
上記では、基本的にWindowsサーバ１００のユーザ情報１０６で管理しているユーザと、ＩＴ−ＢＯＸ２２０のユーザ情報２１１で管理しているユーザは共通であると説明したが、Windowsサーバ１００側、及びＩＴ−ＢＯＸ２２０側のWindows２０１でユーザの追加、削除又は及びユーザ情報の変更(パスワードの変更など)が行われた場合、その追加、削除、変更が発生した時点で、お互いのシステム(Windowsサーバ１００とＩＴ−ＢＯＸ２２０)は、その追加、削除、変更（以下追加等という）が分からない。そのような場合、ユーザ情報に食い違いが生じてしまう。従って、以下Windowsサーバ１００とＩＴ−ＢＯＸ２２０間でのユーザの追加等が発生した場合の対応方法を説明する。また併せてＩＴ−ＢＯＸ２２０とＭＦＰ３間のユーザの追加等への対応も説明する。
【００８６】
（１）Windowsサーバ１００でユーザ情報１０６の追加等が発生したケースを示す。
【００８７】
Windowsサーバ１００でユーザが追加された場合、ＩＴ−ＢＯＸ２２０の操作部２１６からのログイン時、Windowsサーバ１００に追加したユーザ名とパスワードを入力すればよい。Windowsサーバ１００へのログインには成功する。その後、ＩＴ−ＢＯＸ２２０の設定情報管理２１２を経由して、ＩＴ−ＢＯＸ２２０のユーザ情報２１１にも当該ユーザを追加する。ＭＦＰ３２０に対しては、ＩＴ−ＢＯＸ２２０からのＭＦＰ３２０へのログイン要求時、ＭＦＰ３２０のユーザ情報３０４にそのユーザが存在していなければ、ＩＴ−ＢＯＸ２２０の設定情報管理２１２よりＭＦＰ３２０の設定情報管理３０３に対しユーザ追加を要求する。そしてＭＦＰ３２０の設定情報管理３０３は、ＭＦＰ３２０のユーザ情報３０４にユーザを追加する。
【００８８】
Windowsサーバ１００でユーザが削除された場合、ＩＴ−ＢＯＸ２２０の操作部２０７から、削除されたユーザ名でWindowsサーバ１００へのログインを試みても、Windowsサーバ１００のユーザ情報１０６からはそのユーザは削除されているので、ログインに失敗する。この場合、ＩＴ−ＢＯＸ２２０の設定情報管理(212)を経由して、ＩＴ−ＢＯＸ２２０のユーザ情報２１１からユーザを削除する。ＭＦＰ３２０に対しては、ＩＴ−ＢＯＸ２２０の設定情報管理２１２よりＭＦＰ３２０の設定情報管理３０３に対し当該ユーザの削除を要求する。そして ＭＦＰ３２０の設定情報管理３０３は、ＭＦＰ３２０のユーザ情報３０４から当該ユーザを削除する。
【００８９】
Windowsサーバ１００でユーザ情報が変更された場合、パスワードが変更されている場合は、そのパスワードを利用者がＩＴ−ＢＯＸ２２０の操作部２０７に入力すればよい。その後、ＩＴ−ＢＯＸ２２０の設定情報管理２１２を経由して、ＩＴ−ＢＯＸ２２０のユーザ情報２１１にも当該ユーザのパスワードを変更する。ＭＦＰ３２０に対しては、ＩＴ−ＢＯＸ２２０からのＭＦＰ３２０へのログイン要求時、ＩＴ−ＢＯＸ２２０の設定情報管理２１２よりＭＦＰ３２０の設定情報管理３０３に対し該ユーザのパスワード変更を要求する。そしてＭＦＰ３２０の設定情報管理３０３は、ＭＦＰ３２０のユーザ情報３０４に当該ユーザのパスワード変更をする。
【００９０】
Windowsサーバ１００でポリシーが変更されている場合、ＩＴ−ＢＯＸ２２０からのWindowsサーバ１００へのログイン後、ポリシーはＩＴ−ＢＯＸ２２０のWindows２０１のレジストリ２０６に反映される。ＭＦＰ３２０に対しては、レジストリ２０９のフィルタリングされたポリシーによって反映される。
【００９１】
（２）ＩＴ−ＢＯＸ２２０のWindows２０１におけるWindowsへのユーザ追加等の検出方法を示す。
【００９２】
アカウント管理２１４にて、Windowsへのユーザ追加、削除、ユーザ情報の変更を検出する。変更が発生すると、ログ管理２１５によってWindowsのセキュリティイベントログに出力される。イベントログには発生したイベント種を判別するためのイベントIDが記載されている。また、どのユーザに発生したイベントなのかは、メンバIDに記載されている。これらはアカウント管理２１４、ログ管理２１５ともにWindowsに備わっている機能である。設定情報管理２１２にて、イベントログを解析し、イベントの種別と、どのユーザで発生したイベントであるかを取得する。設定情報管理２１２が、イベント内容に応じてユーザ情報２１１へ反映する。図９は、イベント情報の一例を示す。
【００９３】
ここでパスワード情報はアカウント管理２１４では取得できないため、以下の別手段を講じる。パスワードの変更は、パスワードフィルタ２１３より変更通知および変更したパスワードの情報が可能である。変更通知の通知は設定情報管理２１２で受ける。変更したパスワード情報の取得及びユーザ情報２１１への反映も設定情報管理２１２が行う。パスワードフィルタもWindowsに備わっている機能である。
【００９４】
ＩＴ−ＢＯＸ２２０にユーザが追加された場合、仮にクライアント側であるＩＴ−ＢＯＸ２２０に追加したユーザを、ＩＴ−ＢＯＸ２２０の操作部２１６からのログイン時にWindowsサーバ１００に自動登録してしまうと、Windowsサーバ１００でのユーザ一元管理が崩れてしまう。このケースは、サーバ管理者がWindowsサーバ１００側よりＩＴ−ＢＯＸ２２０に追加したユーザを登録する。ＭＦＰ３２０に対しては、ＩＴ−ＢＯＸ２２０からのＭＦＰ３２０へのログイン要求時、ＭＦＰ３２０のユーザ情報３０４にそのユーザが存在していなければ、ＩＴ−ＢＯＸ２２０の設定情報管理２１２より、ＭＦＰ３２０の設定情報管理３０３に対し当該ユーザ追加を要求する。そしてＭＦＰ３２０の設定情報管理３０３は、ＭＦＰ３２０のユーザ情報３０４に当該ユーザを追加する。
【００９５】
ＩＴ−ＢＯＸ２２０でユーザが削除された場合、ユーザが削除されているので、ＩＴ−ＢＯＸ２２０の操作部２１６からのログインに失敗する。Windowsサーバ１００へのログイン前にＩＴ−ＢＯＸ２２０のユーザ情報２１１にユーザが存在するか否かを確認するので、ユーザが削除されていることを判断できる。一連のログイン動作はＩＴ−ＢＯＸ２２０のユーザ情報を起点とするので、Windowsサーバ１００のユーザ情報１０６は変更せず、そのままとする。ＭＦＰ３２０に対しては、ＩＴ−ＢＯＸ２２０の設定情報管理２１２よりＭＦＰ３２０の設定情報管理３０３に対しユーザ削除を要求する。そしてＭＦＰ３２０の設定情報管理３０３は、ＭＦＰ３２０のユーザ情報３０４から当該ユーザを削除する。
【００９６】
ＩＴ−ＢＯＸ２２０でユーザ情報が変更された場合、パスワードが変更されている場合は、そのパスワードをユーザがＩＴ−ＢＯＸ２２０の操作部２１６に入力すればよい。ポリシーはWindowsサーバ１００が一元管理しているので、クライアント側であるＩＴ−ＢＯＸ２２０では変更できない。ＭＦＰ３２０に対しては、ＩＴ−ＢＯＸ２２０の設定情報管理２１２よりＭＦＰ３２０の設定情報管理３０３に対しユーザ情報(ここではパスワード)の 変更を要求する。そしてＭＦＰ３２０の設定情報管理３０３は、ＭＦＰ３２０のユーザ情報３０４の当該ユーザ情報を変更する。
【００９７】
（３）ＭＦＰ３２０でユーザ情報３０４の追加等が発生したケースを示す。
【００９８】
ＭＦＰ３２０でユーザが追加された場合、一連のログイン動作はＩＴ−ＢＯＸ２２０のユーザ情報を起点とするので、その一連の流れにおいてＩＴ−ＢＯＸ２２０側からＭＦＰ３２０のユーザを追加することはできない。ＩＴ−ＢＯＸ２２０とＭＦＰ３２０間のユーザ情報は、ＩＴ−ＢＯＸ２２０からＭＦＰ３２０へのログイン要求時に、ＩＴ−ＢＯＸ２２０の設定情報管理２１２と、ＭＦＰ３２０の設定情報管理３０３間で、お互いのユーザ情報の変化(追加・削除・変更)を確認し合い、変化をお互いのユーザ情報に反映する。また、ＩＴ−ＢＯＸ２２０からＭＦＰ３２０へのログイン要求時だけでなく、一定時間間隔でもお互いのユーザ情報の変化(追加・削除・変更)を確認し合い、変化をお互いのユーザ情報に反映するようにもできる。
【００９９】
ＭＦＰ３２０でユーザが削除された場合、ＩＴ−ＢＯＸ２２０の操作部２１６から、Windowsサーバ１００へのログイン成功後、ＩＴ−ＢＯＸ２２０からのＭＦＰ３２０へのログイン要求が発生する。ＭＦＰ３２０のユーザ情報３０４から当該ユーザが削除されていると、ＩＴ−ＢＯＸ２２０からのログイン要求が失敗する。ＩＴ−ＢＯＸ２２０は、ログイン要求が失敗すると、ＩＴ−ＢＯＸ２２０の設定情報管理２１２よりＭＦＰ３２０の設定情報管理３０３に対しユーザ追加を要求する。ＭＦＰ３２０の設定情報管理３０３によりＭＦＰ３２０のユーザ情報３０４にユーザを追加する。また、ＩＴ−ＢＯＸ２２０からＭＦＰ３２０へのログイン要求時だけでなく、一定時間間隔でもお互いのユーザ情報の変化(追加・削除・変更)を確認し合い、変化をお互いのユーザ情報に反映する。
【０１００】
ＭＦＰ３２０でユーザ情報が変更された場合、ＩＴ−ＢＯＸ２２０とＭＦＰ３２０間のユーザ情報は、ＩＴ−ＢＯＸ２２０からＭＦＰ３２０へのログイン要求時に、ＩＴ−ＢＯＸ２２０の設定情報管理２１２とＭＦＰ３２０の設定情報管理３０３間で、お互いのユーザ情報の変化(追加・削除・変更)を確認し合い、変化をお互いのユーザ情報に反映する。また、ＩＴ−ＢＯＸ２２０からＭＦＰ３２０へのログイン要求時だけでなく、一定時間間隔でもお互いのユーザ情報の変化(追加・削除・変更)を確認し合い、変化をお互いのユーザ情報に反映する。
【０１０１】
以上、本実施形態によれば、実施形態１と同様に、ＩＴ−ＢＯＸをWindowsサーバとＭＦＰ間に仲介させることで、ＩＴ−ＢＯＸにWindowsサーバが管理するドメインへの参加のために特別な対応を施すことなく、ＭＦＰをWindowsサーバのドメインに参加させ、またWindowsサーバが管理するポリシーを適用することができる。
【０１０２】
なおまた、ＩＴ−ＢＯＸが仲介役となることでWindowsサーバ、ＭＦＰの何れの立場からも管理する機器がＩＴ−ＢＯＸ一つだけであるので、今後のシステム(Windowsサーバ、ＩＴ−ＢＯＸ、ＭＦＰ)の拡張を考える上でもＩＴ−ＢＯＸでシステム内のバージョンアップなどによる差異を吸収することができる。そして、ＩＴ−ＢＯＸをWindowsサーバとＭＦＰ間に仲介させることで、ユーザ情報の同期を行う為、サーバ側にアプリケーションを導入する必要や、Windowsサーバ側の設定を変更する必要もない。よって管理者の余計な負担や手間を与えることもなく、新たなセキュリティホールに懸念する必要もなくなるという効果も有する。
【０１０３】
[実施形態３]
図１０は、本実施形態に係るネットワーク環境の一例を示す。図に示されるように、Windowsサーバ１００、ＩＴ−ＢＯＸ２００、ＭＦＰ３００に加え、ＭＦＰ３００−２、ＭＦＰ３００−３がネットワークを介して接続される。
【０１０４】
実施形態１において、ＩＴ−ＢＯＸ２００が仲介役となって、Windowsサーバ１００で管理するポリシーを含めたユーザー情報の一元管理をWindows OSとは異なるOSを搭載しているＭＦＰ３００に対しても適用できることを説明した。本実施形態３では、ＩＴ−ＢＯＸ２００は1台のＭＦＰ３００のみならず、複数台のＭＦＰ３００を接続でき、同様の仲介的動作を行える。図に示されるように、1つのＩＴ−ＢＯＸ２００に対して、３台のＭＦＰ３００、ＭＦＰ３００−２、ＭＦＰ３００−３、が接続される様子が示されている。
【０１０５】
また実施形態２においても、ＩＴ−ＢＯＸ２２０が仲介役となって、Windowsサーバ１００で管理するポリシーを含めたユーザー情報の一元管理をWindows OSとは異なるOSを搭載しているＭＦＰ３２０に対しても適用できることを説明した。本実施形態３では、同様に、ＩＴ−ＢＯＸ２２０は1台のＭＦＰ３２０のみならず、複数台のＭＦＰ３２０を接続でき、同様の仲介的動作を行える。図に示されるように、1つのＩＴ−ＢＯＸ２２０に対して、３台のＭＦＰ３２０、ＭＦＰ３２０−２、ＭＦＰ３２０−３、が接続される様子が示されている（符号は括弧書きで示されるもの）。
【０１０６】
ＩＴ−ＢＯＸ２２０の設定情報管理２１２が主(マスター)となり、それぞれのＭＦＰの設定情報管理３０３、３０３−２、３０３−３などと同期し、ＩＴ−ＢＯＸ２２０のユーザ情報２１１と、それぞれのＭＦＰのユーザ情報３０４、３０４−２、３０４−３などとデータ同期する。同期方法例は、上述したとおりでＩＴ−ＢＯＸ２２０からＭＦＰへのログイン要求時及び一定時間間隔でもお互いのユーザー情報の変化(追加・削除・変更)を確認し合うことでその変化をお互いのユーザー情報に反映する。
【０１０７】
以上のように、ＩＴ−ＢＯＸが複数台のＭＦＰを接続し、上述の仲介的動作を行うので、複数台のＭＦＰに対してもＭＦＰ側に変更を加えることなく、今後のシステムバージョンアップなどによる拡張をＩＴ−ＢＯＸで吸収することができる。
【０１０８】
以上、本発明によれば、Windowsネットワーク環境下に非Windowsシステムが導入される場合、非Windowsシステムに対し、Windowsサーバの管理するユーザ等のポリシーを出来る限り容易に適用できるようにした情報処理装置等を提供できる。
【０１０９】
本発明は係る特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。
【符号の説明】
【０１１０】
１００ Windowsサーバ
１０１ ポリシー管理部
１０２ パスワードポリシー１０２
１０３ アカウントロックアウトポリシー
１０４ Windows Updateポリシー
１０５ 設定情報管理部
１０７ 共有フィルダポリシー
１０６ ユーザ情報
２００ ＩＴ−ＢＯＸ
２０１ Windows
２０３ セッション管理部
２０４ Windows サーバ認証処理部
２０５ ポリシー管理部
２０６ レジストリ
２０７ フィルタ部
２０８ ポリシーフィルタ
２０９ レジストリ
２１０ ＭＦＰ認証処理部
２１１ ユーザ情報
２１２ 設定情報管理部
２１３ パスワードフィルタ部
２１４ アカウント管理部
２１５ ログ管理部
２１６ 操作部
２２０ ＩＴ−ＢＯＸ
３００ ＭＦＰ
３０２ リクエスト管理部
３０３ 設定情報管理部
３０４ ユーザ情報
３０５ セッション管理部
３０６ 認証処理部
３０７ ポリシー管理部
３０８ 操作部
３２０ ＭＦＰ
３２０−２ ＭＦＰ
３２０−３ ＭＦＰ
【先行技術文献】
【特許文献】
【０１１１】
【特許文献１】特開２００５−２８４９５０号
【特許請求の範囲】
【請求項１】
第１のＯＳを有し、情報処理装置に対しまた情報処理装置のユーザ又はユーザグループに対しポリシーを適用するサーバと、
第２のＯＳを有する第２の情報処理装置と、
にネットワークを介して接続される第１のＯＳを有する第１の情報処理装置であって、
前記サーバから前記ポリシーを取得し保存するポリシー管理手段と、
前記第１のＯＳから前記第２のＯＳへ適用可能なポリシーが規定されたフィルタポリシーに基づき、前記ポリシー管理手段により保存されたポリシーをフィルタリングするフィルタ手段と、を有し、
前記フィルタリングされたポリシーは、前記第２の情報処理装置若しくは前記第２の情報処理装置ユーザ又はユーザグループに適用されること、
を特徴とする情報処理装置。
【請求項２】
前記サーバが管理するユーザ情報及び第２の情報処理装置が管理するユーザ情報と、自装置が管理するユーザ情報とを同期させる同期手段と、
を有することを特徴とする請求項１記載の情報処理装置。
【請求項３】
複数の前記第２の情報処理装置が接続され、
前記フィルタリングされたポリシーは、複数の前記第２の情報処理装置若しくは複数の前記第２の情報処理装置ユーザ又はユーザグループに適用されること、
を特徴とする請求項１又は２記載の情報処理装置。
【請求項４】
第１のＯＳを有し、情報処理装置に対しまた情報処理装置のユーザ又はユーザグループに対しポリシーを適用するサーバと、第２のＯＳを有する第２の情報処理装置と、にネットワークを介して接続される第１のＯＳを有する第１の情報処理装置におけるポリシー適用方法であって、
前記サーバから前記ポリシーを取得し保存するポリシー管理手順と、
前記第１のＯＳから前記第２のＯＳへ適用可能なポリシーが規定されたフィルタポリシーに基づき、前記ポリシー管理手順により保存されたポリシーをフィルタリングするフィルタ手順と、
前記フィルタリングされたポリシーが、前記第２の情報処理装置若しくは前記第２の情報処理装置ユーザ又はユーザグループに適用される適用手順と、
を特徴とするポリシー適用方法。
【請求項５】
請求項４に記載のポリシー適用方法をコンピュータに実行させるためのプログラム。
【請求項６】
第１のＯＳを有する第１の情報処理装置と、
第２のＯＳを有する第２の情報処理装置と、
第１のＯＳを有し、前記第１及び第２の情報処理装置に対しまた前記第１及び第２情報処理装置のユーザ又はユーザグループに対しポリシーを適用するサーバと
を含み構成されるシステムであって、
前記第１の情報処理装置は、
前記サーバから前記ポリシーを取得し保存するポリシー管理手段と、
前記第１のＯＳから前記第２のＯＳへ適用可能なポリシーが規定されたフィルタポリシーに基づき、前記ポリシー管理手段により保存されたポリシーをフィルタリングするフィルタ手段と、
を有し、
前記第２の情報処理装置は、
前記フィルタ手段によりフィルタリングされたポリシーを取得し保存するポリシー管理手段と、を有し、
前記フィルタリングされたポリシーは、当該第２の情報処理装置若しくは当該第２の情報処理装置ユーザ又はユーザグループに適用されること、
を特徴とするシステム。
【請求項１】
第１のＯＳを有し、情報処理装置に対しまた情報処理装置のユーザ又はユーザグループに対しポリシーを適用するサーバと、
第２のＯＳを有する第２の情報処理装置と、
にネットワークを介して接続される第１のＯＳを有する第１の情報処理装置であって、
前記サーバから前記ポリシーを取得し保存するポリシー管理手段と、
前記第１のＯＳから前記第２のＯＳへ適用可能なポリシーが規定されたフィルタポリシーに基づき、前記ポリシー管理手段により保存されたポリシーをフィルタリングするフィルタ手段と、を有し、
前記フィルタリングされたポリシーは、前記第２の情報処理装置若しくは前記第２の情報処理装置ユーザ又はユーザグループに適用されること、
を特徴とする情報処理装置。
【請求項２】
前記サーバが管理するユーザ情報及び第２の情報処理装置が管理するユーザ情報と、自装置が管理するユーザ情報とを同期させる同期手段と、
を有することを特徴とする請求項１記載の情報処理装置。
【請求項３】
複数の前記第２の情報処理装置が接続され、
前記フィルタリングされたポリシーは、複数の前記第２の情報処理装置若しくは複数の前記第２の情報処理装置ユーザ又はユーザグループに適用されること、
を特徴とする請求項１又は２記載の情報処理装置。
【請求項４】
第１のＯＳを有し、情報処理装置に対しまた情報処理装置のユーザ又はユーザグループに対しポリシーを適用するサーバと、第２のＯＳを有する第２の情報処理装置と、にネットワークを介して接続される第１のＯＳを有する第１の情報処理装置におけるポリシー適用方法であって、
前記サーバから前記ポリシーを取得し保存するポリシー管理手順と、
前記第１のＯＳから前記第２のＯＳへ適用可能なポリシーが規定されたフィルタポリシーに基づき、前記ポリシー管理手順により保存されたポリシーをフィルタリングするフィルタ手順と、
前記フィルタリングされたポリシーが、前記第２の情報処理装置若しくは前記第２の情報処理装置ユーザ又はユーザグループに適用される適用手順と、
を特徴とするポリシー適用方法。
【請求項５】
請求項４に記載のポリシー適用方法をコンピュータに実行させるためのプログラム。
【請求項６】
第１のＯＳを有する第１の情報処理装置と、
第２のＯＳを有する第２の情報処理装置と、
第１のＯＳを有し、前記第１及び第２の情報処理装置に対しまた前記第１及び第２情報処理装置のユーザ又はユーザグループに対しポリシーを適用するサーバと
を含み構成されるシステムであって、
前記第１の情報処理装置は、
前記サーバから前記ポリシーを取得し保存するポリシー管理手段と、
前記第１のＯＳから前記第２のＯＳへ適用可能なポリシーが規定されたフィルタポリシーに基づき、前記ポリシー管理手段により保存されたポリシーをフィルタリングするフィルタ手段と、
を有し、
前記第２の情報処理装置は、
前記フィルタ手段によりフィルタリングされたポリシーを取得し保存するポリシー管理手段と、を有し、
前記フィルタリングされたポリシーは、当該第２の情報処理装置若しくは当該第２の情報処理装置ユーザ又はユーザグループに適用されること、
を特徴とするシステム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【公開番号】特開２０１１−１２３８４１（Ｐ２０１１−１２３８４１Ａ）
【公開日】平成２３年６月２３日（２０１１．６．２３）
【国際特許分類】
【出願番号】特願２００９−２８３３０９（Ｐ２００９−２８３３０９）
【出願日】平成２１年１２月１４日（２００９．１２．１４）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．Ｌｉｎｕｘ
【出願人】（０００００６７４７）株式会社リコー (37,907)
【Ｆターム（参考）】
【公開日】平成２３年６月２３日（２０１１．６．２３）
【国際特許分類】
【出願日】平成２１年１２月１４日（２００９．１２．１４）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．Ｌｉｎｕｘ
【出願人】（０００００６７４７）株式会社リコー (37,907)
【Ｆターム（参考）】
[ Back to top ]