情報管理装置および方法
【課題】管理対象の識別情報に他の情報処理システムのユーザの識別情報を容易に取込んで管理することができる情報管理装置および方法を提供する。
【解決手段】識別情報を管理する情報管理装置４００に、第１の定義情報に含まれる役割情報に基づいて、利用者に対応付けられた第１の情報処理システムにおける識別情報を含む第１の管理情報を生成する管理情報生成部４２０と、第１の管理情報と、第１の情報処理システムと異なる第２の情報処理システムで使用される利用者の識別情報を含む第２の管理情報と、の不整合を検出する不整合検出部４３０と、第１の定義情報において、役割情報と、第２の情報処理システムまたは利用者と、の関係を変更することにより不整合を是正する１または２以上の不整合是正案を作成する不整合是正案作成部４４０と、不整合是正案を実行して不整合を是正する不整合是正案実行部４５０と、を備える。
【解決手段】識別情報を管理する情報管理装置４００に、第１の定義情報に含まれる役割情報に基づいて、利用者に対応付けられた第１の情報処理システムにおける識別情報を含む第１の管理情報を生成する管理情報生成部４２０と、第１の管理情報と、第１の情報処理システムと異なる第２の情報処理システムで使用される利用者の識別情報を含む第２の管理情報と、の不整合を検出する不整合検出部４３０と、第１の定義情報において、役割情報と、第２の情報処理システムまたは利用者と、の関係を変更することにより不整合を是正する１または２以上の不整合是正案を作成する不整合是正案作成部４４０と、不整合是正案を実行して不整合を是正する不整合是正案実行部４５０と、を備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、複数の情報を管理する情報管理装置および方法に関する。
【背景技術】
【０００２】
従来、複数の業務システムで使用されるアカウントやＩｄｅｎｔｉｔｙと称する特徴を示す情報などを管理するための情報管理装置が知られている。情報管理装置は、ユーザに割当てる、業務システムのアカウントを管理し、各業務システムにアカウントの情報を提供する。これをアカウントプロビジョニング（ａｃｃｏｕｎｔ ｐｒｏｖｉｓｉｏｎｉｎｇ）という。業務システムでは、提供されたアカウントの情報を基にアカウントが作成される。
【０００３】
ロールベース（ｒｏｌｅ ｂａｓｅ）を利用してアカウントプロビジョニングを行なう情報管理装置では、複数のロール（”ＲＯＬＥ”）が定義され、各ロールに対して１または２以上の業務システムが対応付けられる。そして、ロールに対してユーザが割当てられる。これらの関係は、情報管理装置に定義情報として記憶される。
【０００４】
例えば、「経理部」ロールを定義し、経理部のユーザがアカウントを持つ必要がある業務システムを「経理部」ロールに対応付ける。そして、経理部に所属するユーザに「経理部」ロールを割当てる。その結果、人事異動により所属が変わった場合でも、ユーザの「経理部」ロールに対する割当てを変更するだけで、アカウントの変更をすることができる。すなわち、個々の業務システムを意識することなく人事異動に合わせたアカウントの変更が可能となる。このように、ロールベースを利用すると、アカウントの管理が容易になる。
【０００５】
図１に、定義情報を説明する図を示す。図１に示すように、定義情報１００には、ロール１からロール４が定義されている。そして、ロール１に対して業務システム１、ロール２に対して業務システム１および２、ロール３に対して業務システム３および４、そして、ロール４に対して業務システム４が対応付けられている。また、ロール１に対してユーザＡおよびＣ、ロール２に対してユーザＢおよびＥ、ロール３に対してユーザＢ、ＣおよびＤ、ロール４に対してユーザＦが割当てられている。
【０００６】
情報管理装置は、定義情報１００に基づいて、情報管理装置に登録されているユーザ毎のアカウントを管理するアカウント管理情報を生成する。
図２に、アカウント管理情報を説明する図を示す。図２に示すように、アカウント管理情報２００には、ユーザ毎に、業務システムで使用するアカウントが定義されている。例えば、ユーザＡには、業務システム１で使用するアカウントＡが定義されている。
【０００７】
上述のように、ユーザに割当てる、業務システムのアカウントは、ロールを介して定義されることになる。そして、情報管理装置は、アカウント管理情報にしたがって、アカウントプロビジョニングを行なう。
【０００８】
上記技術に関連して、ＩＤとパスワードのユーザ認証システムと公開鍵証明書のユーザ認証システムとが共存する環境で、ＩＤ管理と証明書管理とを同時に行い、ＩＤ管理で本来解決すべきユーザやシステム管理者の作業を効率化するユーザ情報管理システムが知られている。
【０００９】
また、クロスアプリケーション機能またはローカル監視、報告、または予防などのリアルタイム機能を使用可能にするＣＢＢＡ（Ｃｏｍｐｕｔｅｒ Ｂａｓｅ Ｂｕｓｉｎｅｓｓ Ａｐｐｌｉｃａｔｉｏｎ）管理システムが知られている。
【先行技術文献】
【特許文献】
【００１０】
【特許文献１】特開２００８−２３４４５１号公報
【特許文献２】国際公開ＷＯ２００６／１２７６７６号パンフレット
【発明の概要】
【発明が解決しようとする課題】
【００１１】
ロールベースを用いてアカウントプロビジョニングを行なう情報管理装置は、定義情報１００にしたがって、情報管理装置に登録されているユーザにロールが割り当てられると、アカウント管理情報２００を作成する。各業務システムでは、情報管理装置が提供するアカウント管理情報２００を基にアカウントが作成される。
【００１２】
その結果、ユーザは、割り当てられたロールに応じて適切な業務システムのみにアカウントを持つことができる。言い換えると、情報管理装置は、ユーザに割り当てられたロールとユーザが持つアカウントの整合性が保たれるように、業務システムのアカウントを管理する。
【００１３】
一方、情報管理装置で管理していない既存の業務システムのアカウントを情報管理装置で管理するには、既存の業務システムのアカウントの情報を情報管理装置に取り込んで、ユーザと関連付ける必要がある。以下、既存の業務システムのアカウントを「既存アカウント」という。
【００１４】
図３に示すように、単にアカウント管理情報２００に既存アカウント３０１の情報を追加したアカウント管理情報３００は、ロールの割当てから決まるアカウント管理情報２００との整合性が崩れてしまう。すなわち、既存アカウント３０１をアカウント管理情報２００に取り込むとロールとアカウントの整合性が崩れてしまうという問題がある。
【００１５】
そのため、ＩＤ管理者は、既存アカウント３０１をアカウント管理情報２００に取り込んだ後に別途ロールの設定など定義情報１００を変更して整合性を回復させる必要があった。例えば、情報管理装置に追加する業務システムを、既存のロールまたは新たに作成したロールに対応付けるとともに、対応付けたロールをユーザに割り当てるなどして、ロールの割当てから決まるアカウント管理情報２００に既存アカウント３０１を含める必要があった。
【００１６】
本情報管理装置が解決しようとする課題は、アカウント管理をおこなう情報管理装置において、管理対象の識別情報に他の情報処理システムのユーザの識別情報を容易に取込んで管理することができる情報管理装置および方法を提供することである。
【課題を解決するための手段】
【００１７】
本情報管理装置の１つの観点によれば、本情報管理装置は、１または２以上の情報処理システムで使用される利用者の識別情報を管理する情報管理装置において、以下の構成要素を備える。
【００１８】
定義情報記憶部は、任意の役割を定義した役割情報と、前記役割情報に対応付けられた第１の情報処理システムと、前記役割情報に割当てられた前記利用者と、を含む第１の定義情報を記憶する記憶手段である。
【００１９】
管理情報生成部は、前記定義情報記憶部から前記第１の定義情報を読み出し、前記第１の定義情報に含まれる前記役割情報に基づいて、前記利用者に対応付けられた前記第１の情報処理システムにおける前記識別情報を含む第１の管理情報を生成する。
【００２０】
不整合検出部は、前記第１の管理情報と、前記第１の情報処理システムと異なる第２の情報処理システムで使用される利用者の識別情報を含む第２の管理情報と、の不整合を検出する。
【００２１】
不整合是正案作成部は、前記第１の定義情報において、前記役割情報と、前記第２の情報処理システムまたは前記利用者と、の関係を変更することにより前記不整合を是正する１または２以上の不整合是正案を作成する。
【００２２】
不整合是正案実行部は、前記不整合是正案を実行して前記不整合を是正する。
【発明の効果】
【００２３】
本情報管理装置によると、管理対象の識別情報に他のシステムのユーザの識別情報を容易に取込んで管理することができる情報管理装置および方法を提供することができる。
【図面の簡単な説明】
【００２４】
【図１】定義情報を説明する図である。
【図２】アカウント管理情報を説明する図である。
【図３】アカウント管理情報に既存アカウントを取込む場合の例を説明する図である。
【図４】第１の実施例に係る情報管理装置を説明する図である。
【図５】第２の実施例に係る情報管理装置を使用する情報処理システムの構成例を示す図である。
【図６】第２の実施例に係る定義情報を説明する図である。
【図７】第２の実施例に係るアカウント管理情報を説明する図である。
【図８】第２の実施例に係る既存の業務システムを説明する図である。
【図９】第２の実施例に係る更新定義情報を説明する図である。
【図１０】第２の実施例に係る情報管理装置の処理の概要を示すフローチャートである。
【図１１】第２の実施例に係る更新アカウント情報の例を示す図である。
【図１２】第２の実施例に係る不整合是正案の候補リストを作成する処理（ステップＳ１００５）のフローチャートである。
【図１３】第２の実施例に係る不整合アカウントを持つユーザに割当てられているロールを選択する処理（ステップＳ１２０２）を示すフローチャートである。
【図１４】第２の実施例に係る既存の業務システムに対応しているロールを選択する処理（ステップＳ１２０４）を示すフローチャートである。
【図１５】第２の実施例に係る情報管理装置が作成する候補リストの表示例を示す図である。
【図１６】第２の実施例に係る情報管理装置の具体的な構成例を示す図である。
【発明を実施するための形態】
【００２５】
以下、本実施形態の一例について、図４〜図１６に基づいて説明する。
【実施例１】
【００２６】
図４は、第１の実施例に係る情報管理装置４００を説明する図である。
図４に示す情報管理装置４００は、定義情報記憶部４１０と、管理情報生成部４２０と、不整合検出部４３０と、不整合是正案作成部４４０と、不整合是正案実行部４５０と、を備える情報処理装置である。情報管理装置４００は、第１の情報処理システム１〜ｎそれぞれとネットワークまたは専用線などを介して通信可能に接続されている。また、情報管理装置４００は、第２の情報処理システムともネットワークまたは専用線などを介して通信可能に接続することができる。
【００２７】
第１の情報処理システム１〜ｎは、利用者の識別情報が情報管理装置４００によって管理されている情報処理システムである。また、第２の情報処理システムは、利用者の識別情報が情報管理装置４００によって管理されていない情報処理システムである。なお、図４には、第２の情報処理システムを１つだけ示しているが複数あってもよい。
【００２８】
第１の情報処理システム１〜ｎは、それぞれ所定の業務などを遂行する情報処理装置である。各第１の情報処理システム１〜ｎは、１または２以上の情報処理装置を含むことができる。同様に、第２の業務システムは、所定の業務などを遂行する情報処理装置である。第２の業務システムは、１または２以上の情報処理装置を含むことができる。
【００２９】
定義情報記憶部４１０は、任意の役割を定義した役割情報と、役割情報に対応付けられた第１の情報処理システム１〜ｎと、役割情報に割当てられた利用者と、を含む第１の定義情報４１１を記憶する記憶装置である。
【００３０】
管理情報生成部４２０は、定義情報記憶部４１０から第１の定義情報４１１を読み出し、第１の定義情報４１１に含まれる役割情報に基づいて、利用者に対応付けられた第１の情報処理システム１〜ｎにおける識別情報を含む第１の管理情報４２１を生成する。
【００３１】
不整合検出部４３０は、第１の管理情報４２１と、第１の情報処理システム１〜ｎと異なる第２の情報処理システムで使用される利用者の識別情報を含む第２の管理情報４６０と、の不整合を検出する。なお、第２の管理情報４６０は、利用者等によって入力装置を介して入力される。
【００３２】
ここで、不整合検出部４３０は、第２の管理情報４６０に登録されている識別情報が第１の管理情報４２１に登録されている識別情報に全て含まれている場合に、第１の管理情報４１１と第２の管理情報４６０とが整合していると判断することができる。この場合、不整合検出部４３０は、第２の管理情報４６０に登録されている識別情報に、第１の管理情報４２１に登録されている識別情報と異なる識別情報を検出すると不整合と判断することができる。
【００３３】
不整合是正案作成部４４０は、第１の定義情報４１１に関して、役割情報と、第２の情報処理システムまたは利用者と、の関係を変更することにより不整合を是正する１または２以上の不整合是正案４４１を作成する。情報管理装置４００は、不整合是正案４４１をディスプレイ等の表示装置に出力して利用者等に選択を促すことができる。
【００３４】
不整合是正案実行部４５０は、例えば、利用者等が入力装置を介して指定した不整合是正案を実行して不整合を是正する。
上述のように、不整合検出部４３０が検出した第１の管理情報４２１と第２の管理情報４６０との不整合について、不整合是正案作成部４４０は、不整合是正案４４１を作成する。利用者等は、不整合是正案４４１の中から必要な不整合是正案を選択して不整合是正案実行部４５０に実行させることにより、第１の定義情報４１１を変更し、第１の管理情報４２１と第２の管理情報４６０との不整合を是正することができる。
【００３５】
その結果、管理情報生成部４２０は、第１の定義情報４１１に含まれる役割情報に基づいて、第１の情報処理システム１〜ｎにおける識別情報と、第２の情報処理システムにおける識別情報と、を含む第１の管理情報４２１を生成することが可能となる。すなわち、情報管理装置４００は、第１の定義情報４１１を用いて、第１の情報処理システム１〜ｎの識別情報と第２の情報処理システムの識別情報とを全て管理することが可能となる。
【００３６】
以上のように、情報管理装置４００は、第２の情報処理システムのような管理対象外の情報処理システムを容易に管理対象に取込んで管理することができる効果を奏する。
【実施例２】
【００３７】
図５は、本実施例に係る情報管理装置５０１を使用する情報処理システム５００の構成例を示す図である。
図５に示す情報処理システム５００は、業務システム１〜４と、情報管理装置５０１と、を備える。業務システム１〜４と、情報管理装置５０１と、はネットワークまたは専用線などで通信可能に接続されている。
【００３８】
業務システム１は、所定のアプリケーションを実行することにより業務を遂行する情報処理装置である。業務システム１には、１または２以上の情報処理装置を含むことができる。また、業務システム１は、業務システム１を利用するユーザが使用するアカウントを管理するアカウント情報を備える。図５では、業務システム１が、アカウントＡ、Ｂ、ＣおよびＥが登録されたアカウント情報を備える場合を示している。
【００３９】
同様に、業務システム２〜４は、所定のアプリケーションを実行することにより業務を遂行する情報処理装置である。業務システム２〜４には、それぞれ１または２以上の情報処理装置を含むことができる。また、業務システム２〜４は、それぞれアカウント情報を備える。
【００４０】
情報管理装置５０１は、ロールベースを利用してアカウントプロビジョニングを行なう情報処理装置である。
情報管理装置５０１は、業務システム１〜４の少なくとも１つを利用するユーザと業務システムとの関係をロールを用いて定義する定義情報５０２を備える。そして、情報管理装置５０１は、定義情報５０２にしたがって、ユーザのアカウントを含むアカウント管理情報５０３を生成し保持する。また、情報管理装置５０１は、アカウント管理情報５０３に登録されているアカウントのうち各業務システムに必要なアカウントの情報を、業務システム１〜４それぞれに配信する。このとき配信されるアカウントの情報を「アカウント配信情報」という。
【００４１】
業務システム１〜４では、情報管理装置５０１から配信されたアカウント配信情報にしたがって、アカウント情報が作成される。このとき、各業務システム１〜４の管理者が、手動でアカウント配信情報にしたがってアカウント情報を作成してもよい。また、例えば、情報管理装置５０１が、アカウント配信情報の配信時に業務システム１〜４が提供するコマンド等を実行することで、各業務システム１〜４にアカウント情報を作成してもよい。
【００４２】
なお、図５では、業務システムが４つある場合を例示したが、情報管理装置５０１が管理可能な業務システムの数を限定する趣旨ではない。業務システムは１つであってもよいし、５つ以上あってもよい。また、業務システム１〜４のアカウント情報に記載されているアカウントＡ〜Ｆは、単なる例示であることは当然である。
【００４３】
図６は、本実施例に係る定義情報５０２を説明する図である。
図６に示す定義情報５０２は、ユーザ情報と、ロール情報と、業務システム情報と、を備える。これらユーザ情報、ロール情報、および業務システム情報は、Ｉｄｅｎｔｉｔｙと称する特徴を示す情報の一例である。
【００４４】
ユーザ情報は、業務システム１〜４のうち少なくとも１つの業務システムを使用するユーザを定義する情報を含む。また、ユーザ情報は、ユーザに割当てるロールを定義する情報を含む。例えば、ユーザが持つ後述の組織内の役割に対応するロールに、ユーザを割当てることができる。
【００４５】
図６には、ユーザＡ、ユーザＢ、ユーザＣ、ユーザＤ、ユーザＥおよびユーザＦを含むユーザ情報の例を示している。そして、ユーザＡにはロール１が、ユーザＢにはロール２および３が、ユーザＣにはロール１および３が、ユーザＤにはロール３が、ユーザＥにはロール２が、ユーザＦにはロール４が、それぞれ割当てられているユーザ情報の例を示している。
【００４６】
ロール情報は、ロールを定義する情報を含む。例えば、所属部署や役職など組織内の役割に対応するロールを定義することができる。また、ロール情報は、ロールに対応付ける業務システムを定義する情報を含む。例えば、ロールに対応する組織内の役割を遂行するために必要な業務システムを、ロールに対応付けることができる。
【００４７】
図６には、ロール１、ロール２、ロール３およびロール４を含むロール情報の例を示している。そして、ロール１には業務システム１が、ロール２には業務システム１および２が、ロール３には業務システム３および４が、ロール４には業務システム４が、それぞれ対応付けられているロール情報の例を示している。
【００４８】
業務システム情報は、任意の業務を遂行するために必要な処理を行なう業務システムに関する情報を含む。業務システムに関する情報には、業務システムを識別するための識別情報、例えば業務名などや、業務システムを特定するための情報、例えばＩＰアドレスなどを含めることができる。
【００４９】
図６には、業務システム１、業務システム２、業務システム３および業務システム４を含む業務システム情報の例を示している。
【００５０】
図７は、本実施例に係るアカウント管理情報５０３を説明する図である。
図７に示すアカウント管理情報５０３は、ユーザ毎に、業務システムのアカウントを備える。アカウント管理情報５０３は、情報管理装置５０１が定義情報５０２にしたがって生成する情報である。
【００５１】
例えば、図６に示した定義情報５０２では、業務システム１と対応付けられたロール１がユーザＡに割当てられている、という関係がある。この関係から、情報管理装置５０１は、ユーザＡに関して、業務システム１のアカウントＡを生成する。
【００５２】
同様に、図６に示した定義情報５０２では、業務システム１および２と対応付けられたロール２と、業務システム３および４と対応付けられたロール３と、がユーザＡに割当てられている、という関係がある。この関係から、情報管理装置５０１は、ユーザＢに関して、業務システム１〜４のアカウントＢを生成する。なお、業務システム毎に異なるアカウントを生成してもよいのは当然である。
【００５３】
その他、ユーザＣ〜Ｆについても、ユーザＡやＢと同様の方法で、アカウントを生成することができる。
ここで、ユーザに割当てるアカウント、例えば、ユーザＡに割当てるアカウントＡやユーザＢに割当てるアカウントＢなどは、情報管理装置５０１に予め登録しておいてもよいし、任意の文字列を用いて自動生成してもよい。
【００５４】
本実施例では、情報管理装置５０１が管理・保守する定義情報５０２に、情報管理装置５０１が管理していない既存の業務システム５を取込む場合の処理について以下に説明する。
【００５５】
図８は、本実施例に係る既存の業務システム５を説明する図である。
図８に示す業務システム５は、所定のアプリケーションを実行することにより業務を遂行する情報処理装置である。業務システム５は、図５に示した業務システム１〜４と同様に、アカウント情報を備える。
【００５６】
業務システム５のアカウント情報８００には、ユーザＡが使用するアカウントＡ、ユーザＢが使用するアカウントＢ、ユーザＣが使用するアカウントＣおよびユーザＥが使用するアカウントＥが登録されている。ただし、図８に示す業務システム５のアカウント情報は例示であって、図８に示す内容に限定する趣旨ではない。以下、既存の業務システム５に備わるアカウント情報を「既存アカウント情報８００」という。
【００５７】
図９は、本実施例に係る更新定義情報９００を説明する図である。
図９に示す更新定義情報９００は、図６に示した定義情報５０２に変更を加えた定義情報である。図９には、ロール情報の一部と業務システム情報の一部に変更を加えた場合の例を示している。
【００５８】
具体的には、ロール情報に関して、ロール１および４に業務システム５を対応付ける変更が行なわれている。また、業務システム情報には、業務システム５を追加する変更が行なわれている。なお、図９に示す更新定義情報９００は、定義情報５０２を変更する一例を示すものであって、これに限定する趣旨ではない。
【００５９】
図１０は、本実施例に係る情報管理装置５０１の処理の概要を示すフローチャートである。
ステップＳ１００１において、情報管理装置５０１は、情報管理装置５０１に備わる入力装置を介して入力される既存アカウント情報８００を取得する。また、情報管理装置５０１は、必要に応じて情報管理装置５０１に備わる入力装置を介して入力される更新定義情報９００を取得する。
【００６０】
なお、更新定義情報９００の入力は必須ではない。したがって、更新定義情報９００が入力されない場合、情報管理装置５０１は、既に作成してある定義情報５０２を更新定義情報９００として用いることができる。
【００６１】
ステップＳ１００２において、情報管理装置５０１は、更新定義情報９００から新たなアカウント情報を生成する。このとき生成されるアカウント情報を「更新アカウント情報１１００」という。図１１に、更新アカウント情報１１００の例を示す。図１１に示す更新アカウント情報１１００は、図９に示した更新定義情報９００からアカウント情報を生成した場合の例を示している。
【００６２】
例えば、更新定義情報９００は、ユーザＡおよびＣに割当てられたロール１に業務システム５を対応付ける変更が行なわれている。そのため、変更アカウント情報１１００のユーザＡには、業務システム５のアカウントＡが追加され、更新アカウント情報１１００のユーザＣには、業務システム５のアカウントＣが追加されている。
【００６３】
また、更新定義情報９００は、ユーザＦに割当てられたロール４に業務システム５を対応付ける変更が行なわれている。そのため、更新アカウント情報１１００のユーザＦには、業務システム５のアカウントＦが追加されている。
【００６４】
ステップＳ１００３において、情報管理装置５０１は、既存アカウント情報８００と更新アカウント情報１１００とを比較する。そして、情報管理装置５０１は、既存アカウント情報８００と更新アカウント情報１１００との不整合を検出する。
【００６５】
既存アカウント情報８００に登録された全てのアカウントが更新アカウント情報１１００に含まれる場合、情報管理装置５０１は、既存アカウント情報８００と更新アカウント情報１１００が整合すると判断する。
【００６６】
そして、既存アカウント情報８００に登録されたアカウントの一部または全部のアカウントが更新アカウント情報１１００に含まれない場合、情報管理装置５０１は、既存アカウント情報８００と更新アカウント情報１１００が不整合である判断する。以下、既存アカウント情報８００に登録されているアカウントのうち、更新アカウント情報１１００に含まれないアカウントを「不整合アカウント」という。
【００６７】
例えば、更新アカウント情報１１００を参照すると、ユーザＢのアカウントに、業務システム５のアカウントＢが含まれていない。同様に、ユーザＥのアカウントに、業務システム５のアカウントＥが含まれていない。
【００６８】
この場合、既存アカウント情報８００に登録されたアカウントの一部が更新アカウント情報１１００に含まれないので、情報管理装置５０１は、不整合を検出する。このとき、情報管理装置５０１は、不整合アカウントとして、業務システム５のアカウントＢおよびＥを検出する。
【００６９】
ステップＳ１００４において、情報管理装置５０１は、ステップＳ１００３の処理で検出した不整合アカウントのうちから１つを選択し、選択した不整合アカウントについて不整合を是正する不整合是正案の候補リストを作成する。そして、ステップＳ１００５において、情報管理装置５０１は、作成した不整合是正案の候補リストをディスプレイ等の表示装置に出力する。その後、情報管理装置５０１は、ユーザからの指示待ちの状態となる。
【００７０】
ステップＳ１００６において、情報管理装置５０１が備える入力装置を介して、ユーザからの指示を検出すると、情報管理装置５０１は、処理をステップＳ１００７に移行する。そして、ステップＳ１００７において、情報管理装置５０１は、ステップＳ１００６で指示された不整合是正案を実行する。
【００７１】
ステップＳ１００８において、情報管理装置５０１は、ステップＳ１００７における不整合是正案の実行により、定義情報５０２のロール情報に変更があったか否かを判別する。そして、定義情報５０２のロール情報に変更があったと判断すると（ステップＳ１００８ ＹＥＳ）、情報管理装置５０１は処理をステップＳ１００２に移行する。定義情報５０２のロール情報に変更はない判断すると（ステップＳ１００８ ＮＯ）、情報管理装置５０１は、ステップＳ１００３で検出した全ての不整合アカウントについてステップＳ１００４〜Ｓ１００８の処理を実施したか否かを判別する（ステップＳ１００９）。
【００７２】
ステップＳ１００４〜Ｓ１００８の処理を実行していない不整合アカウントがある場合（ステップＳ１００９ ＮＯ）、情報管理装置５０１は、処理をステップＳ１００４に移行する。また、全ての不整合アカウントに対してステップＳ１００４〜Ｓ１００８の処理を実施した場合（ステップＳ１００９ ＹＥＳ）、情報管理装置５０１は、処理をステップＳ１０１０に移行する。
【００７３】
ステップＳ１０１０において、情報管理装置５０１は、ステップＳ１００２〜Ｓ１００９の処理によって不整合が是正された定義情報にしたがって、新たなアカウント情報を生成する。そして、情報管理装置５０１は、業務システム毎に、必要なアカウントを含むアカウント配信情報を生成して配信する。
【００７４】
ただし、ユーザが後述する「既存の業務システムから不整合アカウントを削除する処理」を選択した場合、情報管理装置５０１は、アカウント配信情報の配信に代えて、既存の業務システムに対して、不整合アカウントを削除する旨の指示を行なうことができる。
【００７５】
図１２は、本実施例に係る不整合是正案の候補リストを作成する処理（ステップＳ１００５）のフローチャートである。
ステップＳ１２０１において、情報管理装置５０１は、不整合是正案を格納する候補リストを作成し、何も登録されていない状態に候補リストを初期化する。なお、候補リストは、１または２以上の不整合是正案を格納する一定サイズの記憶領域についての情報を意味するが、リスト構造などを用いて実現してもよい。
【００７６】
ステップＳ１２０２において、情報管理装置５０１は、更新定義情報９００を参照し、「ステップＳ１００４で選択した不整合アカウントを持つユーザに割当てられているロール」を１つ選択する。そして、ステップＳ１２０３において、情報管理装置５０１は、「ステップＳ１２０２で選択したロールに、既存の業務システムを対応付ける処理」を候補リストに追加する。
【００７７】
同様に、ステップＳ１２０２およびＳ１２０３の処理は、「ステップＳ１００４で選択した不整合アカウントを持つユーザに割当てられているロール」の全てに対して行うことができる。その結果、例えば、図１５の候補リストの１．や２．に示す処理がステップＳ１２０２およびＳ１２０３によって候補リストに追加される。
【００７８】
ステップＳ１２０４において、情報管理装置５０１は、更新定義情報９００を参照し、「既存の業務システムに対応しているロール」を１つ選択する。そして、ステップＳ１２０５において、情報管理装置５０１は、「ステップＳ１２０４で選択したロールを、不整合アカウントを持つユーザに割当てる処理」を候補リストに追加する。
【００７９】
同様に、ステップＳ１２０４およびＳ１２０５の処理は、「既存の業務システムに対応しているロール」の全てに対して行うことができる。その結果、例えば、図１５の候補リストの３．や４．に示す処理がステップＳ１２０４およびＳ１２０５によって候補リストに追加される。
【００８０】
なお、ステップＳ１２０４およびＳ１２０５の処理は、更新定義情報９００に「既存の業務システムに対応しているロール」が存在する場合にだけ実行することができる。したがって、例えば、ステップＳ１００１において、既存アカウント情報８００のみが入力された場合、ステップＳ１２０４およびＳ１２０５の処理はスキップされる。ただし、その後の処理（ステップＳ１００７）で、定義情報５０２のロール情報が変更されて「既存の業務システムに対応しているロール」が存在するようになれば、ステップＳ１２０４およびＳ１２０５は実行される。
【００８１】
ステップＳ１２０６において、情報管理装置５０１は、「新規のロールを追加し、新規のロールに既存の業務システムを対応付け、不整合アカウントを持つユーザに新規のロールを割当てる処理」を候補リストに追加する。例えば、図１５の候補リストの５．に示す処理がステップＳ１２０６によって候補リストに追加される。
【００８２】
ステップＳ１２０７において、情報管理装置５０１は、「既存の業務システムから不整合アカウントを削除する処理」を候補リストに追加する。例えば、図１５の候補リストの６．に示す処理がステップＳ１２０７によって候補リストに追加される。
【００８３】
以上の処理が終了すると、情報管理装置５０１は、候補リストを作成する処理を終了する（ステップＳ１２０８）。
図１３は、本実施例に係る「不整合アカウントを持つユーザに割当てられているロール」を選択する処理（ステップＳ１２０２）を示すフローチャートである。
【００８４】
ステップＳ１３０１において、情報管理装置５０１は、ステップＳ１００３の処理により検出された不整合アカウントを持つユーザをリストアップする。例えば、図８に示した既存アカウント情報８００と図９に示した更新定義情報９００を使用した場合、ステップＳ１００３の処理で不整合と検出されたアカウントＢのユーザＢとアカウントＥのユーザＥとがリストアップされる。
【００８５】
ステップＳ１３０２において、情報管理装置５０１は、「不整合アカウントを持つユーザに割当てられているロール」毎に、「不整合アカウントを持つユーザに割当てられているロール」を割当てられているユーザのうち、ステップＳ１３０１でリストアップしたユーザの数をカウントする。
【００８６】
例えば、図９に示した更新定義情報９００を参照すると、「ユーザＢに割当てられているロール２」を割当てられているユーザのうち、ステップＳ１３０１でリストアップしたユーザはユーザＢとユーザＥの２つである。また、「ユーザＢに割当てられているロール３」を割当てられているユーザのうち、ステップＳ１３０１でリストアップしたユーザはユーザＢの１つである。
【００８７】
ステップＳ１３０３において、情報管理装置５０１は、ステップＳ１３０２でカウントしたカウント値の大きい順に、「不整合アカウントを持つユーザに割当てられているロール」をソートする。そして、情報管理装置５０１は、カウント値の最も大きいロールを１つ選択する（ステップＳ１３０４）。
以上の処理が終了すると、情報管理装置５０１は、不整合アカウントを持つユーザに割当てられているロールを選択する処理を終了する（ステップＳ１３０５）。
【００８８】
図１４は、本実施例に係る「既存の業務システムに対応しているロール」を選択する処理（ステップＳ１２０４）を示すフローチャートである。
ステップＳ１４０１において、情報管理装置５０１は、既存アカウント情報８００から不整合アカウントを除くアカウントを持つユーザをリストアップする。例えば、図８に示した既存アカウント情報８００と図９に示した更新定義情報９００を使用した場合、ステップＳ１００３の処理で不整合と検出されたアカウント以外のアカウントＡおよびＣそれぞれのユーザＡおよびＣがリストアップされる。
【００８９】
ステップＳ１４０２において、情報管理装置５０１は、「既存の業務システムに対応しているロール」毎に、「既存の業務システムに対応しているロール」を割当てられているユーザのうち、ステップＳ１４０１でリストアップしたユーザの数をカウントする。
【００９０】
例えば、図９に示した更新定義情報９００を参照すると、「業務システム５に対応しているロール１」を割当てているユーザのうち、ステップＳ１４０１でリストアップしたユーザはユーザＡとユーザＣの２つである。また、「業務システム５に対応しているロール４」を割当てているユーザのうち、ステップＳ１４０１でリストアップしたユーザは０である。
【００９１】
ステップＳ１４０３において、情報管理装置５０１は、ステップＳ１４０３でカウントしたカウント値の大きい順に、「既存の業務システムに対応しているロール」をソートする。そして、情報管理装置５０１は、カウント値の最も大きいロールを１つ選択する（ステップＳ１４０４）。
【００９２】
以上の処理が終了すると、情報管理装置５０１は、既存の業務システムに対応しているロールを選択する処理を終了する（ステップＳ１４０５）。
【００９３】
図１５は、本実施例に係る情報管理装置５０１が作成する候補リストの表示例を示す図である。
図１５では、図９に示したように、業務システム５を定義情報５０２の業務システム情報に追加し、ロール１とロール４に業務システム５を対応付ける変更をロール情報に対して行なった場合に情報管理装置５０１が作成する候補リストの表示例を示している。
【００９４】
図１６は、本実施例に係る情報管理装置５０１の具体的な構成例を示す図である。
図１６に示す情報管理装置５０１は、ＣＰＵ１６０１、メモリ１６０２、入力装置１６０３、出力装置１６０４、外部記録装置１６０５、媒体駆動装置１６０６および、ネットワーク接続装置１６０８を備える。そして、各装置はバスに接続されて相互にデータの受け渡しを行なうことが可能となっている。
【００９５】
ＣＰＵ１６０１は、周辺機器や各種ソフトウェアを実行する他に本実施例に係る情報管理を実現するプログラムを実行する装置である。
メモリ１６０２は、プログラムを実行するためにデータ等を記憶する装置である。メモリ１６０２には、例えば、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）などの揮発メモリを使用することができる。
【００９６】
入力装置１６０３は、外部から情報管理装置５０１にデータを入力する装置である。入力装置１６０３には、例えば、キーボードやマウスなどを使用することができる。
出力装置１６０４は、データ等を表示装置に出力する装置である。なお、出力装置１６０４には、ディスプレイ装置などの表示装置も含むことができる。
【００９７】
外部記録装置１６０５は、情報管理装置５０１が動作するために必要なプログラムやデータの他に本実施例に係る情報管理を実現するプログラムを記録する装置である。外部記憶装置１６０５には、例えば、磁気ディスク記憶装置などの不揮発性メモリを使用することができる。
【００９８】
媒体駆動装置１６０６は、メモリ１６０２や外部記録装置１６０５のデータを可搬記録媒体１６０７、例えば、フロッピイディスクやＭＯディスク、ＣＤ−ＲやＤＶＤ−Ｒなどに出力し、可搬記録媒体１６０７からプログラムやデータ等を読み出す装置である。
ネットワーク接続装置１６０８は、ネットワーク１６０９に接続する装置である。
【００９９】
なお、図１６に示す構成は、情報管理装置５０１の構成の一例を示すものである。したがって、情報管理装置５０１の構成を図１６に示す構成に限定する趣旨ではない。図１６に示す装置から不要となるものは省略してもよいし、必要となる装置を新たに追加してもよい。
【０１００】
上述のように、情報管理装置５０１は、更新アカウント情報１１００と既存アカウント情報８００との不整合について、不整合是正案の候補リストを作成し（ステップＳ１００４）、不整合是正案の候補リストを表示する（ステップＳ１００５）。そして、情報管理装置５０１は、ユーザが指示する不整合是正案を実行することにより、定義情報５０２を変更し、更新アカウント情報１１００と既存アカウント情報８００との不整合を是正する（ステップＳ１００７）。
【０１０１】
その結果、情報管理装置５０１は、定義情報５０２のロール情報に基づいて、もともと管理対象であった業務システム１〜４におけるアカウントと、新たに管理対象に追加した業務システム５におけるアカウントと、を含むアカウント管理情報を生成することが可能となる。すなわち、情報管理装置５０１は、定義情報５０２を用いて、業務システム１〜５のアカウントを全て管理することが可能となる。
【０１０２】
以上のように、情報管理装置５０１は、容易に、既存のシステム、例えば、業務システム５で使用するアカウントを新たに管理対象に取込んで管理することができる効果を奏する。
【０１０３】
また、情報管理装置５０１は、更新アカウント情報１１００と既存アカウント情報８００との不整合を是正するように、定義情報５０２を変更する。そのため、アカウントの管理者が、不整合に気付かず、例えば、本来アカウントを持つべきでないユーザにアカウントを持たせ続けるといったリスクを回避することができる。
【０１０４】
また、アカウントの管理者は、情報管理装置５０１が作成する不整合是正案の候補リストから不整合是正案を選択することで、更新アカウント情報１１００と既存アカウント情報８００との不整合を是正することができる。これにより、アカウントの管理者のアカウント管理の負担を軽減することができる。
【０１０５】
また、アカウントの管理者は、必要に応じて、情報管理装置５０１が作成する不整合是正案の候補リストから、ロールを定義する不整合是正案を選択することができる。そのため、ロールの管理が容易となる効果を奏する。
【０１０６】
以上の実施例を含む実施形態に関し、さらに以下の付記を開示する。
（付記１）
１または２以上の情報処理システムで使用される利用者の識別情報を管理する情報管理装置において、
任意の役割を定義した役割情報と、前記役割情報に対応付けられた第１の情報処理システムと、前記役割情報に割当てられた前記利用者と、を含む第１の定義情報を記憶する定義情報記憶部と、
前記定義情報記憶部から前記第１の定義情報を読み出し、前記第１の定義情報に含まれる前記役割情報に基づいて、前記利用者に対応付けられた前記第１の情報処理システムにおける前記識別情報を含む第１の管理情報を生成する管理情報生成部と、
前記第１の管理情報と、前記第１の情報処理システムと異なる第２の情報処理システムで使用される利用者の識別情報を含む第２の管理情報と、の不整合を検出する不整合検出部と、
前記第１の定義情報において、前記役割情報と、前記第２の情報処理システムまたは前記利用者と、の関係を変更することにより前記不整合を是正する１または２以上の不整合是正案を作成する不整合是正案作成部と、
前記不整合是正案を実行して前記不整合を是正する不整合是正案実行部と、
を備える情報管理装置。
（付記２）
前記管理情報生成部は、利用者からの指示にしたがって、前記役割情報に対して前記第２の情報処理システムとの対応付けを追加した第２の定義情報に基づいて、前記利用者に対応付けられた前記第１または第２の情報処理システムにおける前記識別情報を含む第３の管理情報を生成し、
前記不整合検出部は、前記第２の管理情報と前記第３の管理情報との不整合を検出する、付記１に記載の情報管理装置。
（付記３）
前記不整合是正案作成部は、前記不整合検出部が検出した不整合識別情報に対応付けられた前記利用者に割当てられた前記役割情報に対して、前記第２の情報処理システムを対応付ける不整合是正案を作成する、付記１に記載の情報管理装置。
（付記４）
前記不整合是正案作成部は、前記不整合検出部が検出した不整合識別情報に対応付けられた前記利用者に割当てられた前記役割情報が複数ある場合には、不整合識別情報に対応付けられた前記利用者に最も多く割当てられている前記役割情報から順に、前記新たな情報処理システムを対応付ける不整合是正案を作成する、付記３に記載の情報管理装置。
（付記５）
前記不整合是正案作成部は、前記不整合検出部が検出した不整合識別情報に対応付けられた前記利用者に対して、前記第２の情報処理システムに対応付けられた前記役割情報を割当てる不整合是正案を作成する、付記１に記載の情報管理装置。
（付記６）
前記不整合是正案作成部は、前記第２の情報処理システムに対応付けられた前記役割情報が複数ある場合には、前記不整合検出部が検出した不整合識別情報以外の識別情報に対応付けられた前記利用者に最も多く割当てられている前記役割情報を、前記不整合検出部が検出した不整合識別情報に対応付けられた前記利用者に対して割当てる不整合是正案を作成する、付記５に記載の情報管理装置。
（付記７）
前記不整合是正案作成部は、前記第１の管理情報に、新たな役割情報を追加し、前記新たな役割情報に前記第２の情報処理システムを対応付けるとともに、前記新たな役割情報に前記不整合検出部が検出した不整合識別情報に対応付けられた前記利用者を割当てる不整合是正案を作成する、付記１に記載の情報管理装置。
（付記８）
前記不整合是正案作成部は、前記第２の情報処理システムに備わる前記第２の管理情報から、前記不整合検出部が検出した不整合識別情報を削除する不整合是正案を作成する、付記１に記載の情報管理装置。
（付記９）
前記不整合是正案作成部は、
前記不整合検出部が検出した不整合識別情報に対応付けられた前記利用者に割当てられた前記役割情報に対して、前記第２の情報処理システムを対応付ける不整合是正案と、
前記不整合検出部が検出した不整合識別情報に対応付けられた前記利用者に対して、前記第２の情報処理システムに対応付けられた前記役割情報を割当てる不整合是正案と、
前記第１の管理情報に、新たな役割情報を追加し、前記新たな役割情報に前記第２の情報処理システムを対応付けるとともに、前記新たな役割情報に前記不整合検出部が検出した不整合識別情報に対応付けられた前記利用者を割当てる不整合是正案と、
前記第２の情報処理システムに備わる前記第２の管理情報から、前記不整合検出部が検出した不整合識別情報を削除する不整合是正案と、
のうち少なくとも１つを作成する、付記１に記載の情報管理装置。（
（付記１０）
１または２以上の情報処理システムで使用される利用者の識別情報を管理する方法において、
任意の役割を定義した役割情報と、前記役割情報に対応付けられた第１の情報処理システムと、前記役割情報に割当てられた前記利用者と、を含む第１の定義情報を記憶する定義情報記憶部から前記第１の定義情報を読み出し、前記第１の定義情報に含まれる前記役割情報に基づいて、前記利用者に対応付けられた前記第１の情報処理システムにおける前記識別情報を含む第１の管理情報を生成する管理情報生成処理と、
前記第１の管理情報と、前記第１の情報処理システムと異なる第２の情報処理システムで使用される利用者の識別情報を含む第２の管理情報と、の不整合を検出する不整合検出処理と、
前記第１の定義情報において、前記役割情報と、前記第２の情報処理システムまたは前記利用者と、の関係を変更することにより前記不整合を是正する１または２以上の不整合是正案を作成する不整合是正案作成処理と、
前記不整合是正案を実行して前記不整合を是正する不整合是正案実行処理と、
を行う方法。
（付記１１）
前記管理情報生成処理は、利用者からの指示にしたがって、前記役割情報に対して前記第２の情報処理システムとの対応付けを追加した第２の定義情報に基づいて、前記利用者に対応付けられた前記第１または第２の情報処理システムにおける前記識別情報を含む第３の管理情報を生成し、
前記不整合検出処理は、前記第２の管理情報と前記第３の管理情報との不整合を検出する、付記１０に記載の方法。
（付記１２）
前記不整合是正案作成処理は、前記不整合検出処理で検出した不整合識別情報に対応付けられた前記利用者に割当てられた前記役割情報に対して、前記第２の情報処理システムを対応付ける不整合是正案を作成する、付記１０に記載の方法。
（付記１３）
前記不整合是正案作成処理は、前記不整合検出処理で検出した不整合識別情報に対応付けられた前記利用者に対して、前記第２の情報処理システムに対応付けられた前記役割情報を割当てる不整合是正案を作成する、付記１０に記載の方法。
（付記１４）
前記不整合是正案作成処理は、前記第１の管理情報に、新たな役割情報を追加し、前記新たな役割情報に前記第２の情報処理システムを対応付けるとともに、前記新たな役割情報に前記不整合検出処理で検出した不整合識別情報に対応付けられた前記利用者を割当てる不整合是正案を作成する、付記１０に記載の方法。
（付記１５）
前記不整合是正案作成処理は、前記第２の情報処理システムに備わる前記第２の管理情報から、前記不整合検出処理で検出した不整合識別情報を削除する不整合是正案を作成する、付記１０に記載の方法。
（付記１６）
前記不整合是正案作成処理は、
前記不整合検出処理で検出した不整合識別情報に対応付けられた前記利用者に割当てられた前記役割情報に対して、前記第２の情報処理システムを対応付ける不整合是正案と、
前記不整合検出処理で検出した不整合識別情報に対応付けられた前記利用者に対して、前記第２の情報処理システムに対応付けられた前記役割情報を割当てる不整合是正案と、
前記第１の管理情報に、新たな役割情報を追加し、前記新たな役割情報に前記第２の情報処理システムを対応付けるとともに、前記新たな役割情報に前記不整合検出処理で検出した不整合識別情報に対応付けられた前記利用者を割当てる不整合是正案と、
前記第２の情報処理システムに備わる前記第２の管理情報から、前記不整合検出処理で検出した不整合識別情報を削除する不整合是正案と、
のうち少なくとも１つを作成する、付記１０に記載の方法。
【符号の説明】
【０１０７】
４００ 情報管理装置
４１０ 第１の定義情報記憶部
４２０ 管理情報生成部
４３０ 不整合検出部
４４０ 不整合是正案作成部
４５０ 不整合是正案実行部
４６０ 第２の管理情報
５０１ 情報管理装置
５０２ 定義情報
５０３ アカウント管理情報
【技術分野】
【０００１】
本発明は、複数の情報を管理する情報管理装置および方法に関する。
【背景技術】
【０００２】
従来、複数の業務システムで使用されるアカウントやＩｄｅｎｔｉｔｙと称する特徴を示す情報などを管理するための情報管理装置が知られている。情報管理装置は、ユーザに割当てる、業務システムのアカウントを管理し、各業務システムにアカウントの情報を提供する。これをアカウントプロビジョニング（ａｃｃｏｕｎｔ ｐｒｏｖｉｓｉｏｎｉｎｇ）という。業務システムでは、提供されたアカウントの情報を基にアカウントが作成される。
【０００３】
ロールベース（ｒｏｌｅ ｂａｓｅ）を利用してアカウントプロビジョニングを行なう情報管理装置では、複数のロール（”ＲＯＬＥ”）が定義され、各ロールに対して１または２以上の業務システムが対応付けられる。そして、ロールに対してユーザが割当てられる。これらの関係は、情報管理装置に定義情報として記憶される。
【０００４】
例えば、「経理部」ロールを定義し、経理部のユーザがアカウントを持つ必要がある業務システムを「経理部」ロールに対応付ける。そして、経理部に所属するユーザに「経理部」ロールを割当てる。その結果、人事異動により所属が変わった場合でも、ユーザの「経理部」ロールに対する割当てを変更するだけで、アカウントの変更をすることができる。すなわち、個々の業務システムを意識することなく人事異動に合わせたアカウントの変更が可能となる。このように、ロールベースを利用すると、アカウントの管理が容易になる。
【０００５】
図１に、定義情報を説明する図を示す。図１に示すように、定義情報１００には、ロール１からロール４が定義されている。そして、ロール１に対して業務システム１、ロール２に対して業務システム１および２、ロール３に対して業務システム３および４、そして、ロール４に対して業務システム４が対応付けられている。また、ロール１に対してユーザＡおよびＣ、ロール２に対してユーザＢおよびＥ、ロール３に対してユーザＢ、ＣおよびＤ、ロール４に対してユーザＦが割当てられている。
【０００６】
情報管理装置は、定義情報１００に基づいて、情報管理装置に登録されているユーザ毎のアカウントを管理するアカウント管理情報を生成する。
図２に、アカウント管理情報を説明する図を示す。図２に示すように、アカウント管理情報２００には、ユーザ毎に、業務システムで使用するアカウントが定義されている。例えば、ユーザＡには、業務システム１で使用するアカウントＡが定義されている。
【０００７】
上述のように、ユーザに割当てる、業務システムのアカウントは、ロールを介して定義されることになる。そして、情報管理装置は、アカウント管理情報にしたがって、アカウントプロビジョニングを行なう。
【０００８】
上記技術に関連して、ＩＤとパスワードのユーザ認証システムと公開鍵証明書のユーザ認証システムとが共存する環境で、ＩＤ管理と証明書管理とを同時に行い、ＩＤ管理で本来解決すべきユーザやシステム管理者の作業を効率化するユーザ情報管理システムが知られている。
【０００９】
また、クロスアプリケーション機能またはローカル監視、報告、または予防などのリアルタイム機能を使用可能にするＣＢＢＡ（Ｃｏｍｐｕｔｅｒ Ｂａｓｅ Ｂｕｓｉｎｅｓｓ Ａｐｐｌｉｃａｔｉｏｎ）管理システムが知られている。
【先行技術文献】
【特許文献】
【００１０】
【特許文献１】特開２００８−２３４４５１号公報
【特許文献２】国際公開ＷＯ２００６／１２７６７６号パンフレット
【発明の概要】
【発明が解決しようとする課題】
【００１１】
ロールベースを用いてアカウントプロビジョニングを行なう情報管理装置は、定義情報１００にしたがって、情報管理装置に登録されているユーザにロールが割り当てられると、アカウント管理情報２００を作成する。各業務システムでは、情報管理装置が提供するアカウント管理情報２００を基にアカウントが作成される。
【００１２】
その結果、ユーザは、割り当てられたロールに応じて適切な業務システムのみにアカウントを持つことができる。言い換えると、情報管理装置は、ユーザに割り当てられたロールとユーザが持つアカウントの整合性が保たれるように、業務システムのアカウントを管理する。
【００１３】
一方、情報管理装置で管理していない既存の業務システムのアカウントを情報管理装置で管理するには、既存の業務システムのアカウントの情報を情報管理装置に取り込んで、ユーザと関連付ける必要がある。以下、既存の業務システムのアカウントを「既存アカウント」という。
【００１４】
図３に示すように、単にアカウント管理情報２００に既存アカウント３０１の情報を追加したアカウント管理情報３００は、ロールの割当てから決まるアカウント管理情報２００との整合性が崩れてしまう。すなわち、既存アカウント３０１をアカウント管理情報２００に取り込むとロールとアカウントの整合性が崩れてしまうという問題がある。
【００１５】
そのため、ＩＤ管理者は、既存アカウント３０１をアカウント管理情報２００に取り込んだ後に別途ロールの設定など定義情報１００を変更して整合性を回復させる必要があった。例えば、情報管理装置に追加する業務システムを、既存のロールまたは新たに作成したロールに対応付けるとともに、対応付けたロールをユーザに割り当てるなどして、ロールの割当てから決まるアカウント管理情報２００に既存アカウント３０１を含める必要があった。
【００１６】
本情報管理装置が解決しようとする課題は、アカウント管理をおこなう情報管理装置において、管理対象の識別情報に他の情報処理システムのユーザの識別情報を容易に取込んで管理することができる情報管理装置および方法を提供することである。
【課題を解決するための手段】
【００１７】
本情報管理装置の１つの観点によれば、本情報管理装置は、１または２以上の情報処理システムで使用される利用者の識別情報を管理する情報管理装置において、以下の構成要素を備える。
【００１８】
定義情報記憶部は、任意の役割を定義した役割情報と、前記役割情報に対応付けられた第１の情報処理システムと、前記役割情報に割当てられた前記利用者と、を含む第１の定義情報を記憶する記憶手段である。
【００１９】
管理情報生成部は、前記定義情報記憶部から前記第１の定義情報を読み出し、前記第１の定義情報に含まれる前記役割情報に基づいて、前記利用者に対応付けられた前記第１の情報処理システムにおける前記識別情報を含む第１の管理情報を生成する。
【００２０】
不整合検出部は、前記第１の管理情報と、前記第１の情報処理システムと異なる第２の情報処理システムで使用される利用者の識別情報を含む第２の管理情報と、の不整合を検出する。
【００２１】
不整合是正案作成部は、前記第１の定義情報において、前記役割情報と、前記第２の情報処理システムまたは前記利用者と、の関係を変更することにより前記不整合を是正する１または２以上の不整合是正案を作成する。
【００２２】
不整合是正案実行部は、前記不整合是正案を実行して前記不整合を是正する。
【発明の効果】
【００２３】
本情報管理装置によると、管理対象の識別情報に他のシステムのユーザの識別情報を容易に取込んで管理することができる情報管理装置および方法を提供することができる。
【図面の簡単な説明】
【００２４】
【図１】定義情報を説明する図である。
【図２】アカウント管理情報を説明する図である。
【図３】アカウント管理情報に既存アカウントを取込む場合の例を説明する図である。
【図４】第１の実施例に係る情報管理装置を説明する図である。
【図５】第２の実施例に係る情報管理装置を使用する情報処理システムの構成例を示す図である。
【図６】第２の実施例に係る定義情報を説明する図である。
【図７】第２の実施例に係るアカウント管理情報を説明する図である。
【図８】第２の実施例に係る既存の業務システムを説明する図である。
【図９】第２の実施例に係る更新定義情報を説明する図である。
【図１０】第２の実施例に係る情報管理装置の処理の概要を示すフローチャートである。
【図１１】第２の実施例に係る更新アカウント情報の例を示す図である。
【図１２】第２の実施例に係る不整合是正案の候補リストを作成する処理（ステップＳ１００５）のフローチャートである。
【図１３】第２の実施例に係る不整合アカウントを持つユーザに割当てられているロールを選択する処理（ステップＳ１２０２）を示すフローチャートである。
【図１４】第２の実施例に係る既存の業務システムに対応しているロールを選択する処理（ステップＳ１２０４）を示すフローチャートである。
【図１５】第２の実施例に係る情報管理装置が作成する候補リストの表示例を示す図である。
【図１６】第２の実施例に係る情報管理装置の具体的な構成例を示す図である。
【発明を実施するための形態】
【００２５】
以下、本実施形態の一例について、図４〜図１６に基づいて説明する。
【実施例１】
【００２６】
図４は、第１の実施例に係る情報管理装置４００を説明する図である。
図４に示す情報管理装置４００は、定義情報記憶部４１０と、管理情報生成部４２０と、不整合検出部４３０と、不整合是正案作成部４４０と、不整合是正案実行部４５０と、を備える情報処理装置である。情報管理装置４００は、第１の情報処理システム１〜ｎそれぞれとネットワークまたは専用線などを介して通信可能に接続されている。また、情報管理装置４００は、第２の情報処理システムともネットワークまたは専用線などを介して通信可能に接続することができる。
【００２７】
第１の情報処理システム１〜ｎは、利用者の識別情報が情報管理装置４００によって管理されている情報処理システムである。また、第２の情報処理システムは、利用者の識別情報が情報管理装置４００によって管理されていない情報処理システムである。なお、図４には、第２の情報処理システムを１つだけ示しているが複数あってもよい。
【００２８】
第１の情報処理システム１〜ｎは、それぞれ所定の業務などを遂行する情報処理装置である。各第１の情報処理システム１〜ｎは、１または２以上の情報処理装置を含むことができる。同様に、第２の業務システムは、所定の業務などを遂行する情報処理装置である。第２の業務システムは、１または２以上の情報処理装置を含むことができる。
【００２９】
定義情報記憶部４１０は、任意の役割を定義した役割情報と、役割情報に対応付けられた第１の情報処理システム１〜ｎと、役割情報に割当てられた利用者と、を含む第１の定義情報４１１を記憶する記憶装置である。
【００３０】
管理情報生成部４２０は、定義情報記憶部４１０から第１の定義情報４１１を読み出し、第１の定義情報４１１に含まれる役割情報に基づいて、利用者に対応付けられた第１の情報処理システム１〜ｎにおける識別情報を含む第１の管理情報４２１を生成する。
【００３１】
不整合検出部４３０は、第１の管理情報４２１と、第１の情報処理システム１〜ｎと異なる第２の情報処理システムで使用される利用者の識別情報を含む第２の管理情報４６０と、の不整合を検出する。なお、第２の管理情報４６０は、利用者等によって入力装置を介して入力される。
【００３２】
ここで、不整合検出部４３０は、第２の管理情報４６０に登録されている識別情報が第１の管理情報４２１に登録されている識別情報に全て含まれている場合に、第１の管理情報４１１と第２の管理情報４６０とが整合していると判断することができる。この場合、不整合検出部４３０は、第２の管理情報４６０に登録されている識別情報に、第１の管理情報４２１に登録されている識別情報と異なる識別情報を検出すると不整合と判断することができる。
【００３３】
不整合是正案作成部４４０は、第１の定義情報４１１に関して、役割情報と、第２の情報処理システムまたは利用者と、の関係を変更することにより不整合を是正する１または２以上の不整合是正案４４１を作成する。情報管理装置４００は、不整合是正案４４１をディスプレイ等の表示装置に出力して利用者等に選択を促すことができる。
【００３４】
不整合是正案実行部４５０は、例えば、利用者等が入力装置を介して指定した不整合是正案を実行して不整合を是正する。
上述のように、不整合検出部４３０が検出した第１の管理情報４２１と第２の管理情報４６０との不整合について、不整合是正案作成部４４０は、不整合是正案４４１を作成する。利用者等は、不整合是正案４４１の中から必要な不整合是正案を選択して不整合是正案実行部４５０に実行させることにより、第１の定義情報４１１を変更し、第１の管理情報４２１と第２の管理情報４６０との不整合を是正することができる。
【００３５】
その結果、管理情報生成部４２０は、第１の定義情報４１１に含まれる役割情報に基づいて、第１の情報処理システム１〜ｎにおける識別情報と、第２の情報処理システムにおける識別情報と、を含む第１の管理情報４２１を生成することが可能となる。すなわち、情報管理装置４００は、第１の定義情報４１１を用いて、第１の情報処理システム１〜ｎの識別情報と第２の情報処理システムの識別情報とを全て管理することが可能となる。
【００３６】
以上のように、情報管理装置４００は、第２の情報処理システムのような管理対象外の情報処理システムを容易に管理対象に取込んで管理することができる効果を奏する。
【実施例２】
【００３７】
図５は、本実施例に係る情報管理装置５０１を使用する情報処理システム５００の構成例を示す図である。
図５に示す情報処理システム５００は、業務システム１〜４と、情報管理装置５０１と、を備える。業務システム１〜４と、情報管理装置５０１と、はネットワークまたは専用線などで通信可能に接続されている。
【００３８】
業務システム１は、所定のアプリケーションを実行することにより業務を遂行する情報処理装置である。業務システム１には、１または２以上の情報処理装置を含むことができる。また、業務システム１は、業務システム１を利用するユーザが使用するアカウントを管理するアカウント情報を備える。図５では、業務システム１が、アカウントＡ、Ｂ、ＣおよびＥが登録されたアカウント情報を備える場合を示している。
【００３９】
同様に、業務システム２〜４は、所定のアプリケーションを実行することにより業務を遂行する情報処理装置である。業務システム２〜４には、それぞれ１または２以上の情報処理装置を含むことができる。また、業務システム２〜４は、それぞれアカウント情報を備える。
【００４０】
情報管理装置５０１は、ロールベースを利用してアカウントプロビジョニングを行なう情報処理装置である。
情報管理装置５０１は、業務システム１〜４の少なくとも１つを利用するユーザと業務システムとの関係をロールを用いて定義する定義情報５０２を備える。そして、情報管理装置５０１は、定義情報５０２にしたがって、ユーザのアカウントを含むアカウント管理情報５０３を生成し保持する。また、情報管理装置５０１は、アカウント管理情報５０３に登録されているアカウントのうち各業務システムに必要なアカウントの情報を、業務システム１〜４それぞれに配信する。このとき配信されるアカウントの情報を「アカウント配信情報」という。
【００４１】
業務システム１〜４では、情報管理装置５０１から配信されたアカウント配信情報にしたがって、アカウント情報が作成される。このとき、各業務システム１〜４の管理者が、手動でアカウント配信情報にしたがってアカウント情報を作成してもよい。また、例えば、情報管理装置５０１が、アカウント配信情報の配信時に業務システム１〜４が提供するコマンド等を実行することで、各業務システム１〜４にアカウント情報を作成してもよい。
【００４２】
なお、図５では、業務システムが４つある場合を例示したが、情報管理装置５０１が管理可能な業務システムの数を限定する趣旨ではない。業務システムは１つであってもよいし、５つ以上あってもよい。また、業務システム１〜４のアカウント情報に記載されているアカウントＡ〜Ｆは、単なる例示であることは当然である。
【００４３】
図６は、本実施例に係る定義情報５０２を説明する図である。
図６に示す定義情報５０２は、ユーザ情報と、ロール情報と、業務システム情報と、を備える。これらユーザ情報、ロール情報、および業務システム情報は、Ｉｄｅｎｔｉｔｙと称する特徴を示す情報の一例である。
【００４４】
ユーザ情報は、業務システム１〜４のうち少なくとも１つの業務システムを使用するユーザを定義する情報を含む。また、ユーザ情報は、ユーザに割当てるロールを定義する情報を含む。例えば、ユーザが持つ後述の組織内の役割に対応するロールに、ユーザを割当てることができる。
【００４５】
図６には、ユーザＡ、ユーザＢ、ユーザＣ、ユーザＤ、ユーザＥおよびユーザＦを含むユーザ情報の例を示している。そして、ユーザＡにはロール１が、ユーザＢにはロール２および３が、ユーザＣにはロール１および３が、ユーザＤにはロール３が、ユーザＥにはロール２が、ユーザＦにはロール４が、それぞれ割当てられているユーザ情報の例を示している。
【００４６】
ロール情報は、ロールを定義する情報を含む。例えば、所属部署や役職など組織内の役割に対応するロールを定義することができる。また、ロール情報は、ロールに対応付ける業務システムを定義する情報を含む。例えば、ロールに対応する組織内の役割を遂行するために必要な業務システムを、ロールに対応付けることができる。
【００４７】
図６には、ロール１、ロール２、ロール３およびロール４を含むロール情報の例を示している。そして、ロール１には業務システム１が、ロール２には業務システム１および２が、ロール３には業務システム３および４が、ロール４には業務システム４が、それぞれ対応付けられているロール情報の例を示している。
【００４８】
業務システム情報は、任意の業務を遂行するために必要な処理を行なう業務システムに関する情報を含む。業務システムに関する情報には、業務システムを識別するための識別情報、例えば業務名などや、業務システムを特定するための情報、例えばＩＰアドレスなどを含めることができる。
【００４９】
図６には、業務システム１、業務システム２、業務システム３および業務システム４を含む業務システム情報の例を示している。
【００５０】
図７は、本実施例に係るアカウント管理情報５０３を説明する図である。
図７に示すアカウント管理情報５０３は、ユーザ毎に、業務システムのアカウントを備える。アカウント管理情報５０３は、情報管理装置５０１が定義情報５０２にしたがって生成する情報である。
【００５１】
例えば、図６に示した定義情報５０２では、業務システム１と対応付けられたロール１がユーザＡに割当てられている、という関係がある。この関係から、情報管理装置５０１は、ユーザＡに関して、業務システム１のアカウントＡを生成する。
【００５２】
同様に、図６に示した定義情報５０２では、業務システム１および２と対応付けられたロール２と、業務システム３および４と対応付けられたロール３と、がユーザＡに割当てられている、という関係がある。この関係から、情報管理装置５０１は、ユーザＢに関して、業務システム１〜４のアカウントＢを生成する。なお、業務システム毎に異なるアカウントを生成してもよいのは当然である。
【００５３】
その他、ユーザＣ〜Ｆについても、ユーザＡやＢと同様の方法で、アカウントを生成することができる。
ここで、ユーザに割当てるアカウント、例えば、ユーザＡに割当てるアカウントＡやユーザＢに割当てるアカウントＢなどは、情報管理装置５０１に予め登録しておいてもよいし、任意の文字列を用いて自動生成してもよい。
【００５４】
本実施例では、情報管理装置５０１が管理・保守する定義情報５０２に、情報管理装置５０１が管理していない既存の業務システム５を取込む場合の処理について以下に説明する。
【００５５】
図８は、本実施例に係る既存の業務システム５を説明する図である。
図８に示す業務システム５は、所定のアプリケーションを実行することにより業務を遂行する情報処理装置である。業務システム５は、図５に示した業務システム１〜４と同様に、アカウント情報を備える。
【００５６】
業務システム５のアカウント情報８００には、ユーザＡが使用するアカウントＡ、ユーザＢが使用するアカウントＢ、ユーザＣが使用するアカウントＣおよびユーザＥが使用するアカウントＥが登録されている。ただし、図８に示す業務システム５のアカウント情報は例示であって、図８に示す内容に限定する趣旨ではない。以下、既存の業務システム５に備わるアカウント情報を「既存アカウント情報８００」という。
【００５７】
図９は、本実施例に係る更新定義情報９００を説明する図である。
図９に示す更新定義情報９００は、図６に示した定義情報５０２に変更を加えた定義情報である。図９には、ロール情報の一部と業務システム情報の一部に変更を加えた場合の例を示している。
【００５８】
具体的には、ロール情報に関して、ロール１および４に業務システム５を対応付ける変更が行なわれている。また、業務システム情報には、業務システム５を追加する変更が行なわれている。なお、図９に示す更新定義情報９００は、定義情報５０２を変更する一例を示すものであって、これに限定する趣旨ではない。
【００５９】
図１０は、本実施例に係る情報管理装置５０１の処理の概要を示すフローチャートである。
ステップＳ１００１において、情報管理装置５０１は、情報管理装置５０１に備わる入力装置を介して入力される既存アカウント情報８００を取得する。また、情報管理装置５０１は、必要に応じて情報管理装置５０１に備わる入力装置を介して入力される更新定義情報９００を取得する。
【００６０】
なお、更新定義情報９００の入力は必須ではない。したがって、更新定義情報９００が入力されない場合、情報管理装置５０１は、既に作成してある定義情報５０２を更新定義情報９００として用いることができる。
【００６１】
ステップＳ１００２において、情報管理装置５０１は、更新定義情報９００から新たなアカウント情報を生成する。このとき生成されるアカウント情報を「更新アカウント情報１１００」という。図１１に、更新アカウント情報１１００の例を示す。図１１に示す更新アカウント情報１１００は、図９に示した更新定義情報９００からアカウント情報を生成した場合の例を示している。
【００６２】
例えば、更新定義情報９００は、ユーザＡおよびＣに割当てられたロール１に業務システム５を対応付ける変更が行なわれている。そのため、変更アカウント情報１１００のユーザＡには、業務システム５のアカウントＡが追加され、更新アカウント情報１１００のユーザＣには、業務システム５のアカウントＣが追加されている。
【００６３】
また、更新定義情報９００は、ユーザＦに割当てられたロール４に業務システム５を対応付ける変更が行なわれている。そのため、更新アカウント情報１１００のユーザＦには、業務システム５のアカウントＦが追加されている。
【００６４】
ステップＳ１００３において、情報管理装置５０１は、既存アカウント情報８００と更新アカウント情報１１００とを比較する。そして、情報管理装置５０１は、既存アカウント情報８００と更新アカウント情報１１００との不整合を検出する。
【００６５】
既存アカウント情報８００に登録された全てのアカウントが更新アカウント情報１１００に含まれる場合、情報管理装置５０１は、既存アカウント情報８００と更新アカウント情報１１００が整合すると判断する。
【００６６】
そして、既存アカウント情報８００に登録されたアカウントの一部または全部のアカウントが更新アカウント情報１１００に含まれない場合、情報管理装置５０１は、既存アカウント情報８００と更新アカウント情報１１００が不整合である判断する。以下、既存アカウント情報８００に登録されているアカウントのうち、更新アカウント情報１１００に含まれないアカウントを「不整合アカウント」という。
【００６７】
例えば、更新アカウント情報１１００を参照すると、ユーザＢのアカウントに、業務システム５のアカウントＢが含まれていない。同様に、ユーザＥのアカウントに、業務システム５のアカウントＥが含まれていない。
【００６８】
この場合、既存アカウント情報８００に登録されたアカウントの一部が更新アカウント情報１１００に含まれないので、情報管理装置５０１は、不整合を検出する。このとき、情報管理装置５０１は、不整合アカウントとして、業務システム５のアカウントＢおよびＥを検出する。
【００６９】
ステップＳ１００４において、情報管理装置５０１は、ステップＳ１００３の処理で検出した不整合アカウントのうちから１つを選択し、選択した不整合アカウントについて不整合を是正する不整合是正案の候補リストを作成する。そして、ステップＳ１００５において、情報管理装置５０１は、作成した不整合是正案の候補リストをディスプレイ等の表示装置に出力する。その後、情報管理装置５０１は、ユーザからの指示待ちの状態となる。
【００７０】
ステップＳ１００６において、情報管理装置５０１が備える入力装置を介して、ユーザからの指示を検出すると、情報管理装置５０１は、処理をステップＳ１００７に移行する。そして、ステップＳ１００７において、情報管理装置５０１は、ステップＳ１００６で指示された不整合是正案を実行する。
【００７１】
ステップＳ１００８において、情報管理装置５０１は、ステップＳ１００７における不整合是正案の実行により、定義情報５０２のロール情報に変更があったか否かを判別する。そして、定義情報５０２のロール情報に変更があったと判断すると（ステップＳ１００８ ＹＥＳ）、情報管理装置５０１は処理をステップＳ１００２に移行する。定義情報５０２のロール情報に変更はない判断すると（ステップＳ１００８ ＮＯ）、情報管理装置５０１は、ステップＳ１００３で検出した全ての不整合アカウントについてステップＳ１００４〜Ｓ１００８の処理を実施したか否かを判別する（ステップＳ１００９）。
【００７２】
ステップＳ１００４〜Ｓ１００８の処理を実行していない不整合アカウントがある場合（ステップＳ１００９ ＮＯ）、情報管理装置５０１は、処理をステップＳ１００４に移行する。また、全ての不整合アカウントに対してステップＳ１００４〜Ｓ１００８の処理を実施した場合（ステップＳ１００９ ＹＥＳ）、情報管理装置５０１は、処理をステップＳ１０１０に移行する。
【００７３】
ステップＳ１０１０において、情報管理装置５０１は、ステップＳ１００２〜Ｓ１００９の処理によって不整合が是正された定義情報にしたがって、新たなアカウント情報を生成する。そして、情報管理装置５０１は、業務システム毎に、必要なアカウントを含むアカウント配信情報を生成して配信する。
【００７４】
ただし、ユーザが後述する「既存の業務システムから不整合アカウントを削除する処理」を選択した場合、情報管理装置５０１は、アカウント配信情報の配信に代えて、既存の業務システムに対して、不整合アカウントを削除する旨の指示を行なうことができる。
【００７５】
図１２は、本実施例に係る不整合是正案の候補リストを作成する処理（ステップＳ１００５）のフローチャートである。
ステップＳ１２０１において、情報管理装置５０１は、不整合是正案を格納する候補リストを作成し、何も登録されていない状態に候補リストを初期化する。なお、候補リストは、１または２以上の不整合是正案を格納する一定サイズの記憶領域についての情報を意味するが、リスト構造などを用いて実現してもよい。
【００７６】
ステップＳ１２０２において、情報管理装置５０１は、更新定義情報９００を参照し、「ステップＳ１００４で選択した不整合アカウントを持つユーザに割当てられているロール」を１つ選択する。そして、ステップＳ１２０３において、情報管理装置５０１は、「ステップＳ１２０２で選択したロールに、既存の業務システムを対応付ける処理」を候補リストに追加する。
【００７７】
同様に、ステップＳ１２０２およびＳ１２０３の処理は、「ステップＳ１００４で選択した不整合アカウントを持つユーザに割当てられているロール」の全てに対して行うことができる。その結果、例えば、図１５の候補リストの１．や２．に示す処理がステップＳ１２０２およびＳ１２０３によって候補リストに追加される。
【００７８】
ステップＳ１２０４において、情報管理装置５０１は、更新定義情報９００を参照し、「既存の業務システムに対応しているロール」を１つ選択する。そして、ステップＳ１２０５において、情報管理装置５０１は、「ステップＳ１２０４で選択したロールを、不整合アカウントを持つユーザに割当てる処理」を候補リストに追加する。
【００７９】
同様に、ステップＳ１２０４およびＳ１２０５の処理は、「既存の業務システムに対応しているロール」の全てに対して行うことができる。その結果、例えば、図１５の候補リストの３．や４．に示す処理がステップＳ１２０４およびＳ１２０５によって候補リストに追加される。
【００８０】
なお、ステップＳ１２０４およびＳ１２０５の処理は、更新定義情報９００に「既存の業務システムに対応しているロール」が存在する場合にだけ実行することができる。したがって、例えば、ステップＳ１００１において、既存アカウント情報８００のみが入力された場合、ステップＳ１２０４およびＳ１２０５の処理はスキップされる。ただし、その後の処理（ステップＳ１００７）で、定義情報５０２のロール情報が変更されて「既存の業務システムに対応しているロール」が存在するようになれば、ステップＳ１２０４およびＳ１２０５は実行される。
【００８１】
ステップＳ１２０６において、情報管理装置５０１は、「新規のロールを追加し、新規のロールに既存の業務システムを対応付け、不整合アカウントを持つユーザに新規のロールを割当てる処理」を候補リストに追加する。例えば、図１５の候補リストの５．に示す処理がステップＳ１２０６によって候補リストに追加される。
【００８２】
ステップＳ１２０７において、情報管理装置５０１は、「既存の業務システムから不整合アカウントを削除する処理」を候補リストに追加する。例えば、図１５の候補リストの６．に示す処理がステップＳ１２０７によって候補リストに追加される。
【００８３】
以上の処理が終了すると、情報管理装置５０１は、候補リストを作成する処理を終了する（ステップＳ１２０８）。
図１３は、本実施例に係る「不整合アカウントを持つユーザに割当てられているロール」を選択する処理（ステップＳ１２０２）を示すフローチャートである。
【００８４】
ステップＳ１３０１において、情報管理装置５０１は、ステップＳ１００３の処理により検出された不整合アカウントを持つユーザをリストアップする。例えば、図８に示した既存アカウント情報８００と図９に示した更新定義情報９００を使用した場合、ステップＳ１００３の処理で不整合と検出されたアカウントＢのユーザＢとアカウントＥのユーザＥとがリストアップされる。
【００８５】
ステップＳ１３０２において、情報管理装置５０１は、「不整合アカウントを持つユーザに割当てられているロール」毎に、「不整合アカウントを持つユーザに割当てられているロール」を割当てられているユーザのうち、ステップＳ１３０１でリストアップしたユーザの数をカウントする。
【００８６】
例えば、図９に示した更新定義情報９００を参照すると、「ユーザＢに割当てられているロール２」を割当てられているユーザのうち、ステップＳ１３０１でリストアップしたユーザはユーザＢとユーザＥの２つである。また、「ユーザＢに割当てられているロール３」を割当てられているユーザのうち、ステップＳ１３０１でリストアップしたユーザはユーザＢの１つである。
【００８７】
ステップＳ１３０３において、情報管理装置５０１は、ステップＳ１３０２でカウントしたカウント値の大きい順に、「不整合アカウントを持つユーザに割当てられているロール」をソートする。そして、情報管理装置５０１は、カウント値の最も大きいロールを１つ選択する（ステップＳ１３０４）。
以上の処理が終了すると、情報管理装置５０１は、不整合アカウントを持つユーザに割当てられているロールを選択する処理を終了する（ステップＳ１３０５）。
【００８８】
図１４は、本実施例に係る「既存の業務システムに対応しているロール」を選択する処理（ステップＳ１２０４）を示すフローチャートである。
ステップＳ１４０１において、情報管理装置５０１は、既存アカウント情報８００から不整合アカウントを除くアカウントを持つユーザをリストアップする。例えば、図８に示した既存アカウント情報８００と図９に示した更新定義情報９００を使用した場合、ステップＳ１００３の処理で不整合と検出されたアカウント以外のアカウントＡおよびＣそれぞれのユーザＡおよびＣがリストアップされる。
【００８９】
ステップＳ１４０２において、情報管理装置５０１は、「既存の業務システムに対応しているロール」毎に、「既存の業務システムに対応しているロール」を割当てられているユーザのうち、ステップＳ１４０１でリストアップしたユーザの数をカウントする。
【００９０】
例えば、図９に示した更新定義情報９００を参照すると、「業務システム５に対応しているロール１」を割当てているユーザのうち、ステップＳ１４０１でリストアップしたユーザはユーザＡとユーザＣの２つである。また、「業務システム５に対応しているロール４」を割当てているユーザのうち、ステップＳ１４０１でリストアップしたユーザは０である。
【００９１】
ステップＳ１４０３において、情報管理装置５０１は、ステップＳ１４０３でカウントしたカウント値の大きい順に、「既存の業務システムに対応しているロール」をソートする。そして、情報管理装置５０１は、カウント値の最も大きいロールを１つ選択する（ステップＳ１４０４）。
【００９２】
以上の処理が終了すると、情報管理装置５０１は、既存の業務システムに対応しているロールを選択する処理を終了する（ステップＳ１４０５）。
【００９３】
図１５は、本実施例に係る情報管理装置５０１が作成する候補リストの表示例を示す図である。
図１５では、図９に示したように、業務システム５を定義情報５０２の業務システム情報に追加し、ロール１とロール４に業務システム５を対応付ける変更をロール情報に対して行なった場合に情報管理装置５０１が作成する候補リストの表示例を示している。
【００９４】
図１６は、本実施例に係る情報管理装置５０１の具体的な構成例を示す図である。
図１６に示す情報管理装置５０１は、ＣＰＵ１６０１、メモリ１６０２、入力装置１６０３、出力装置１６０４、外部記録装置１６０５、媒体駆動装置１６０６および、ネットワーク接続装置１６０８を備える。そして、各装置はバスに接続されて相互にデータの受け渡しを行なうことが可能となっている。
【００９５】
ＣＰＵ１６０１は、周辺機器や各種ソフトウェアを実行する他に本実施例に係る情報管理を実現するプログラムを実行する装置である。
メモリ１６０２は、プログラムを実行するためにデータ等を記憶する装置である。メモリ１６０２には、例えば、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）などの揮発メモリを使用することができる。
【００９６】
入力装置１６０３は、外部から情報管理装置５０１にデータを入力する装置である。入力装置１６０３には、例えば、キーボードやマウスなどを使用することができる。
出力装置１６０４は、データ等を表示装置に出力する装置である。なお、出力装置１６０４には、ディスプレイ装置などの表示装置も含むことができる。
【００９７】
外部記録装置１６０５は、情報管理装置５０１が動作するために必要なプログラムやデータの他に本実施例に係る情報管理を実現するプログラムを記録する装置である。外部記憶装置１６０５には、例えば、磁気ディスク記憶装置などの不揮発性メモリを使用することができる。
【００９８】
媒体駆動装置１６０６は、メモリ１６０２や外部記録装置１６０５のデータを可搬記録媒体１６０７、例えば、フロッピイディスクやＭＯディスク、ＣＤ−ＲやＤＶＤ−Ｒなどに出力し、可搬記録媒体１６０７からプログラムやデータ等を読み出す装置である。
ネットワーク接続装置１６０８は、ネットワーク１６０９に接続する装置である。
【００９９】
なお、図１６に示す構成は、情報管理装置５０１の構成の一例を示すものである。したがって、情報管理装置５０１の構成を図１６に示す構成に限定する趣旨ではない。図１６に示す装置から不要となるものは省略してもよいし、必要となる装置を新たに追加してもよい。
【０１００】
上述のように、情報管理装置５０１は、更新アカウント情報１１００と既存アカウント情報８００との不整合について、不整合是正案の候補リストを作成し（ステップＳ１００４）、不整合是正案の候補リストを表示する（ステップＳ１００５）。そして、情報管理装置５０１は、ユーザが指示する不整合是正案を実行することにより、定義情報５０２を変更し、更新アカウント情報１１００と既存アカウント情報８００との不整合を是正する（ステップＳ１００７）。
【０１０１】
その結果、情報管理装置５０１は、定義情報５０２のロール情報に基づいて、もともと管理対象であった業務システム１〜４におけるアカウントと、新たに管理対象に追加した業務システム５におけるアカウントと、を含むアカウント管理情報を生成することが可能となる。すなわち、情報管理装置５０１は、定義情報５０２を用いて、業務システム１〜５のアカウントを全て管理することが可能となる。
【０１０２】
以上のように、情報管理装置５０１は、容易に、既存のシステム、例えば、業務システム５で使用するアカウントを新たに管理対象に取込んで管理することができる効果を奏する。
【０１０３】
また、情報管理装置５０１は、更新アカウント情報１１００と既存アカウント情報８００との不整合を是正するように、定義情報５０２を変更する。そのため、アカウントの管理者が、不整合に気付かず、例えば、本来アカウントを持つべきでないユーザにアカウントを持たせ続けるといったリスクを回避することができる。
【０１０４】
また、アカウントの管理者は、情報管理装置５０１が作成する不整合是正案の候補リストから不整合是正案を選択することで、更新アカウント情報１１００と既存アカウント情報８００との不整合を是正することができる。これにより、アカウントの管理者のアカウント管理の負担を軽減することができる。
【０１０５】
また、アカウントの管理者は、必要に応じて、情報管理装置５０１が作成する不整合是正案の候補リストから、ロールを定義する不整合是正案を選択することができる。そのため、ロールの管理が容易となる効果を奏する。
【０１０６】
以上の実施例を含む実施形態に関し、さらに以下の付記を開示する。
（付記１）
１または２以上の情報処理システムで使用される利用者の識別情報を管理する情報管理装置において、
任意の役割を定義した役割情報と、前記役割情報に対応付けられた第１の情報処理システムと、前記役割情報に割当てられた前記利用者と、を含む第１の定義情報を記憶する定義情報記憶部と、
前記定義情報記憶部から前記第１の定義情報を読み出し、前記第１の定義情報に含まれる前記役割情報に基づいて、前記利用者に対応付けられた前記第１の情報処理システムにおける前記識別情報を含む第１の管理情報を生成する管理情報生成部と、
前記第１の管理情報と、前記第１の情報処理システムと異なる第２の情報処理システムで使用される利用者の識別情報を含む第２の管理情報と、の不整合を検出する不整合検出部と、
前記第１の定義情報において、前記役割情報と、前記第２の情報処理システムまたは前記利用者と、の関係を変更することにより前記不整合を是正する１または２以上の不整合是正案を作成する不整合是正案作成部と、
前記不整合是正案を実行して前記不整合を是正する不整合是正案実行部と、
を備える情報管理装置。
（付記２）
前記管理情報生成部は、利用者からの指示にしたがって、前記役割情報に対して前記第２の情報処理システムとの対応付けを追加した第２の定義情報に基づいて、前記利用者に対応付けられた前記第１または第２の情報処理システムにおける前記識別情報を含む第３の管理情報を生成し、
前記不整合検出部は、前記第２の管理情報と前記第３の管理情報との不整合を検出する、付記１に記載の情報管理装置。
（付記３）
前記不整合是正案作成部は、前記不整合検出部が検出した不整合識別情報に対応付けられた前記利用者に割当てられた前記役割情報に対して、前記第２の情報処理システムを対応付ける不整合是正案を作成する、付記１に記載の情報管理装置。
（付記４）
前記不整合是正案作成部は、前記不整合検出部が検出した不整合識別情報に対応付けられた前記利用者に割当てられた前記役割情報が複数ある場合には、不整合識別情報に対応付けられた前記利用者に最も多く割当てられている前記役割情報から順に、前記新たな情報処理システムを対応付ける不整合是正案を作成する、付記３に記載の情報管理装置。
（付記５）
前記不整合是正案作成部は、前記不整合検出部が検出した不整合識別情報に対応付けられた前記利用者に対して、前記第２の情報処理システムに対応付けられた前記役割情報を割当てる不整合是正案を作成する、付記１に記載の情報管理装置。
（付記６）
前記不整合是正案作成部は、前記第２の情報処理システムに対応付けられた前記役割情報が複数ある場合には、前記不整合検出部が検出した不整合識別情報以外の識別情報に対応付けられた前記利用者に最も多く割当てられている前記役割情報を、前記不整合検出部が検出した不整合識別情報に対応付けられた前記利用者に対して割当てる不整合是正案を作成する、付記５に記載の情報管理装置。
（付記７）
前記不整合是正案作成部は、前記第１の管理情報に、新たな役割情報を追加し、前記新たな役割情報に前記第２の情報処理システムを対応付けるとともに、前記新たな役割情報に前記不整合検出部が検出した不整合識別情報に対応付けられた前記利用者を割当てる不整合是正案を作成する、付記１に記載の情報管理装置。
（付記８）
前記不整合是正案作成部は、前記第２の情報処理システムに備わる前記第２の管理情報から、前記不整合検出部が検出した不整合識別情報を削除する不整合是正案を作成する、付記１に記載の情報管理装置。
（付記９）
前記不整合是正案作成部は、
前記不整合検出部が検出した不整合識別情報に対応付けられた前記利用者に割当てられた前記役割情報に対して、前記第２の情報処理システムを対応付ける不整合是正案と、
前記不整合検出部が検出した不整合識別情報に対応付けられた前記利用者に対して、前記第２の情報処理システムに対応付けられた前記役割情報を割当てる不整合是正案と、
前記第１の管理情報に、新たな役割情報を追加し、前記新たな役割情報に前記第２の情報処理システムを対応付けるとともに、前記新たな役割情報に前記不整合検出部が検出した不整合識別情報に対応付けられた前記利用者を割当てる不整合是正案と、
前記第２の情報処理システムに備わる前記第２の管理情報から、前記不整合検出部が検出した不整合識別情報を削除する不整合是正案と、
のうち少なくとも１つを作成する、付記１に記載の情報管理装置。（
（付記１０）
１または２以上の情報処理システムで使用される利用者の識別情報を管理する方法において、
任意の役割を定義した役割情報と、前記役割情報に対応付けられた第１の情報処理システムと、前記役割情報に割当てられた前記利用者と、を含む第１の定義情報を記憶する定義情報記憶部から前記第１の定義情報を読み出し、前記第１の定義情報に含まれる前記役割情報に基づいて、前記利用者に対応付けられた前記第１の情報処理システムにおける前記識別情報を含む第１の管理情報を生成する管理情報生成処理と、
前記第１の管理情報と、前記第１の情報処理システムと異なる第２の情報処理システムで使用される利用者の識別情報を含む第２の管理情報と、の不整合を検出する不整合検出処理と、
前記第１の定義情報において、前記役割情報と、前記第２の情報処理システムまたは前記利用者と、の関係を変更することにより前記不整合を是正する１または２以上の不整合是正案を作成する不整合是正案作成処理と、
前記不整合是正案を実行して前記不整合を是正する不整合是正案実行処理と、
を行う方法。
（付記１１）
前記管理情報生成処理は、利用者からの指示にしたがって、前記役割情報に対して前記第２の情報処理システムとの対応付けを追加した第２の定義情報に基づいて、前記利用者に対応付けられた前記第１または第２の情報処理システムにおける前記識別情報を含む第３の管理情報を生成し、
前記不整合検出処理は、前記第２の管理情報と前記第３の管理情報との不整合を検出する、付記１０に記載の方法。
（付記１２）
前記不整合是正案作成処理は、前記不整合検出処理で検出した不整合識別情報に対応付けられた前記利用者に割当てられた前記役割情報に対して、前記第２の情報処理システムを対応付ける不整合是正案を作成する、付記１０に記載の方法。
（付記１３）
前記不整合是正案作成処理は、前記不整合検出処理で検出した不整合識別情報に対応付けられた前記利用者に対して、前記第２の情報処理システムに対応付けられた前記役割情報を割当てる不整合是正案を作成する、付記１０に記載の方法。
（付記１４）
前記不整合是正案作成処理は、前記第１の管理情報に、新たな役割情報を追加し、前記新たな役割情報に前記第２の情報処理システムを対応付けるとともに、前記新たな役割情報に前記不整合検出処理で検出した不整合識別情報に対応付けられた前記利用者を割当てる不整合是正案を作成する、付記１０に記載の方法。
（付記１５）
前記不整合是正案作成処理は、前記第２の情報処理システムに備わる前記第２の管理情報から、前記不整合検出処理で検出した不整合識別情報を削除する不整合是正案を作成する、付記１０に記載の方法。
（付記１６）
前記不整合是正案作成処理は、
前記不整合検出処理で検出した不整合識別情報に対応付けられた前記利用者に割当てられた前記役割情報に対して、前記第２の情報処理システムを対応付ける不整合是正案と、
前記不整合検出処理で検出した不整合識別情報に対応付けられた前記利用者に対して、前記第２の情報処理システムに対応付けられた前記役割情報を割当てる不整合是正案と、
前記第１の管理情報に、新たな役割情報を追加し、前記新たな役割情報に前記第２の情報処理システムを対応付けるとともに、前記新たな役割情報に前記不整合検出処理で検出した不整合識別情報に対応付けられた前記利用者を割当てる不整合是正案と、
前記第２の情報処理システムに備わる前記第２の管理情報から、前記不整合検出処理で検出した不整合識別情報を削除する不整合是正案と、
のうち少なくとも１つを作成する、付記１０に記載の方法。
【符号の説明】
【０１０７】
４００ 情報管理装置
４１０ 第１の定義情報記憶部
４２０ 管理情報生成部
４３０ 不整合検出部
４４０ 不整合是正案作成部
４５０ 不整合是正案実行部
４６０ 第２の管理情報
５０１ 情報管理装置
５０２ 定義情報
５０３ アカウント管理情報
【特許請求の範囲】
【請求項１】
１または２以上の情報処理システムで使用される利用者の識別情報を管理する情報管理装置において、
任意の役割を定義した役割情報と、前記役割情報に対応付けられた第１の情報処理システムと、前記役割情報に割当てられた前記利用者と、を含む第１の定義情報を記憶する定義情報記憶部と、
前記定義情報記憶部から前記第１の定義情報を読み出し、前記第１の定義情報に含まれる前記役割情報に基づいて、前記利用者に対応付けられた前記第１の情報処理システムにおける前記識別情報を含む第１の管理情報を生成する管理情報生成部と、
前記第１の管理情報と、前記第１の情報処理システムと異なる第２の情報処理システムで使用される利用者の識別情報を含む第２の管理情報と、の不整合を検出する不整合検出部と、
前記第１の定義情報において、前記役割情報と、前記第２の情報処理システムまたは前記利用者と、の関係を変更することにより前記不整合を是正する１または２以上の不整合是正案を作成する不整合是正案作成部と、
前記不整合是正案を実行して前記不整合を是正する不整合是正案実行部と、
を備える情報管理装置。
【請求項２】
前記不整合是正案作成部は、前記不整合検出部が検出した不整合識別情報に対応付けられた前記利用者に割当てられた前記役割情報に対して、前記第２の情報処理システムを対応付ける不整合是正案を作成する、請求項１に記載の情報管理装置。
【請求項３】
前記不整合是正案作成部は、前記不整合検出部が検出した不整合識別情報に対応付けられた前記利用者に対して、前記第２の情報処理システムに対応付けられた前記役割情報を割当てる不整合是正案を作成する、請求項１に記載の情報管理装置。
【請求項４】
前記不整合是正案作成部は、前記第１の管理情報に、新たな役割情報を追加し、前記新たな役割情報に前記第２の情報処理システムを対応付けるとともに、前記新たな役割情報に前記不整合検出部が検出した不整合識別情報に対応付けられた前記利用者を割当てる不整合是正案を作成する、請求項１に記載の情報管理装置。
【請求項５】
１または２以上の情報処理システムで使用される利用者の識別情報を管理する方法において、
任意の役割を定義した役割情報と、前記役割情報に対応付けられた第１の情報処理システムと、前記役割情報に割当てられた前記利用者と、を含む第１の定義情報を記憶する定義情報記憶部から前記第１の定義情報を読み出し、前記第１の定義情報に含まれる前記役割情報に基づいて、前記利用者に対応付けられた前記第１の情報処理システムにおける前記識別情報を含む第１の管理情報を生成する管理情報生成処理と、
前記第１の管理情報と、前記第１の情報処理システムと異なる第２の情報処理システムで使用される利用者の識別情報を含む第２の管理情報と、の不整合を検出する不整合検出処理と、
前記第１の定義情報において、前記役割情報と、前記第２の情報処理システムまたは前記利用者と、の関係を変更することにより前記不整合を是正する１または２以上の不整合是正案を作成する不整合是正案作成処理と、
前記不整合是正案を実行して前記不整合を是正する不整合是正案実行処理と、
を行う方法。
【請求項１】
１または２以上の情報処理システムで使用される利用者の識別情報を管理する情報管理装置において、
任意の役割を定義した役割情報と、前記役割情報に対応付けられた第１の情報処理システムと、前記役割情報に割当てられた前記利用者と、を含む第１の定義情報を記憶する定義情報記憶部と、
前記定義情報記憶部から前記第１の定義情報を読み出し、前記第１の定義情報に含まれる前記役割情報に基づいて、前記利用者に対応付けられた前記第１の情報処理システムにおける前記識別情報を含む第１の管理情報を生成する管理情報生成部と、
前記第１の管理情報と、前記第１の情報処理システムと異なる第２の情報処理システムで使用される利用者の識別情報を含む第２の管理情報と、の不整合を検出する不整合検出部と、
前記第１の定義情報において、前記役割情報と、前記第２の情報処理システムまたは前記利用者と、の関係を変更することにより前記不整合を是正する１または２以上の不整合是正案を作成する不整合是正案作成部と、
前記不整合是正案を実行して前記不整合を是正する不整合是正案実行部と、
を備える情報管理装置。
【請求項２】
前記不整合是正案作成部は、前記不整合検出部が検出した不整合識別情報に対応付けられた前記利用者に割当てられた前記役割情報に対して、前記第２の情報処理システムを対応付ける不整合是正案を作成する、請求項１に記載の情報管理装置。
【請求項３】
前記不整合是正案作成部は、前記不整合検出部が検出した不整合識別情報に対応付けられた前記利用者に対して、前記第２の情報処理システムに対応付けられた前記役割情報を割当てる不整合是正案を作成する、請求項１に記載の情報管理装置。
【請求項４】
前記不整合是正案作成部は、前記第１の管理情報に、新たな役割情報を追加し、前記新たな役割情報に前記第２の情報処理システムを対応付けるとともに、前記新たな役割情報に前記不整合検出部が検出した不整合識別情報に対応付けられた前記利用者を割当てる不整合是正案を作成する、請求項１に記載の情報管理装置。
【請求項５】
１または２以上の情報処理システムで使用される利用者の識別情報を管理する方法において、
任意の役割を定義した役割情報と、前記役割情報に対応付けられた第１の情報処理システムと、前記役割情報に割当てられた前記利用者と、を含む第１の定義情報を記憶する定義情報記憶部から前記第１の定義情報を読み出し、前記第１の定義情報に含まれる前記役割情報に基づいて、前記利用者に対応付けられた前記第１の情報処理システムにおける前記識別情報を含む第１の管理情報を生成する管理情報生成処理と、
前記第１の管理情報と、前記第１の情報処理システムと異なる第２の情報処理システムで使用される利用者の識別情報を含む第２の管理情報と、の不整合を検出する不整合検出処理と、
前記第１の定義情報において、前記役割情報と、前記第２の情報処理システムまたは前記利用者と、の関係を変更することにより前記不整合を是正する１または２以上の不整合是正案を作成する不整合是正案作成処理と、
前記不整合是正案を実行して前記不整合を是正する不整合是正案実行処理と、
を行う方法。
【図１】
【図２】
【図４】
【図５】
【図６】
【図７】
【図８】
【図１０】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図３】
【図９】
【図１１】
【図２】
【図４】
【図５】
【図６】
【図７】
【図８】
【図１０】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図３】
【図９】
【図１１】
【公開番号】特開２０１１−１８６８９１（Ｐ２０１１−１８６８９１Ａ）
【公開日】平成２３年９月２２日（２０１１．９．２２）
【国際特許分類】
【出願番号】特願２０１０−５２９１４（Ｐ２０１０−５２９１４）
【出願日】平成２２年３月１０日（２０１０．３．１０）
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成１９年度、経済産業省、「セキュア・プラットフォームプロジェクト」委託研究、産業技術力強化法第１９条の適用を受ける特許出願
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
【公開日】平成２３年９月２２日（２０１１．９．２２）
【国際特許分類】
【出願日】平成２２年３月１０日（２０１０．３．１０）
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成１９年度、経済産業省、「セキュア・プラットフォームプロジェクト」委託研究、産業技術力強化法第１９条の適用を受ける特許出願
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
[ Back to top ]