接続制御装置及びプログラム
【課題】接続制御に係る処理の負担を軽減しつつ、条件を満足しない情報処理装置の通信を制御する技術が求められている。
【解決手段】通信先ごとに、当該通信先への接続が許諾されるソフトウエアの版情報に関する条件を関連づけて記憶する。要求元となり得る情報処理装置２が保持するソフトウエアの版が、当該取得した条件を満足するか否かを判断し、判断の結果、要求元のソフトウエアの版が、当該取得した条件を満足する場合に、通信先への接続を許諾する設定とした相互通信許否表を生成する。要求元から通信先への接続要求を受けて、当該相互通信許否表に基づいて、当該要求元から要求された通信先への通信の許否を決定し、通信を許可するとの決定であった場合に、要求元と通信先との通信を仲介する。
【解決手段】通信先ごとに、当該通信先への接続が許諾されるソフトウエアの版情報に関する条件を関連づけて記憶する。要求元となり得る情報処理装置２が保持するソフトウエアの版が、当該取得した条件を満足するか否かを判断し、判断の結果、要求元のソフトウエアの版が、当該取得した条件を満足する場合に、通信先への接続を許諾する設定とした相互通信許否表を生成する。要求元から通信先への接続要求を受けて、当該相互通信許否表に基づいて、当該要求元から要求された通信先への通信の許否を決定し、通信を許可するとの決定であった場合に、要求元と通信先との通信を仲介する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、接続制御装置及びプログラムに関する。
【背景技術】
【０００２】
支社ネットワークや本社ネットワークに、クライアント端末やサーバが接続され、支社ネットワーク及び本社ネットワークは、認証サーバの管理ネットワークに接続され、クライアント端末が、本社ネットワークに接続されているサーバからデータを取得する場合には、認証サーバにアクセスし、認証サーバは、クライアント端末のウィルス対策ソフトウェアが基準バージョンでない場合には、クライアント端末のウィルス対策ソフトウェアを基準バージョンに更新した上で、サーバへの接続許可を行なうという技術が特許文献１に開示されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００６−２５２４７１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
接続制御に係る処理の負担を軽減しつつ、条件を満足しない情報処理装置の通信を制御する技術が求められている。
【課題を解決するための手段】
【０００５】
請求項１記載の発明は、接続制御装置であって、通信先ごとに、当該通信先への接続が許諾されるソフトウエアの版情報に関する条件を関連づけて記憶する手段と、要求元となり得る情報処理装置が保持するソフトウエアの版が、当該取得した条件を満足するか否かを判断する判断手段と、前記判断の結果、要求元のソフトウエアの版が、当該取得した条件を満足する場合に、前記通信先への接続を許諾する設定とした相互通信許否表を生成する手段と、要求元から通信先への接続要求を受けて、前記生成された相互通信許否表に基づいて、当該要求元から要求された通信先への通信の許否を決定する手段と、前記決定が通信を許可するとの決定であった場合に、前記要求元と通信先との通信を仲介する手段と、を含むこととしたものである。
【０００６】
請求項２記載の発明は、請求項１記載の接続制御装置であって、各通信先が属する通信手段ごとに、接続が許諾されるソフトウエアの版情報に関する前記条件が設定されることとしたものである。
【０００７】
請求項３記載の発明は、請求項１記載の接続制御装置であって、各通信先ごとに、接続が許諾されるソフトウエアの版情報に関する前記条件が設定されることとしたものである。
【０００８】
請求項４記載の発明は、請求項１から３のいずれか一項に記載の接続制御装置であって、前記決定が通信を許可しないとの決定であった場合に、条件を満足するソフトウエアの版の参照情報を提供する手段と、をさらに含むこととしたものである。
【０００９】
請求項５記載の発明はプログラムであって、コンピュータを、通信先ごとに、当該通信先への接続が許諾されるソフトウエアの版情報に関する条件を関連づけて記憶する手段と、要求元となり得る情報処理装置が保持するソフトウエアの版が、当該取得した条件を満足するか否かを判断する判断手段と、前記判断の結果、要求元のソフトウエアの版が、当該取得した条件を満足する場合に、前記通信先への接続を許諾する設定とした相互通信許否表を生成する手段と、要求元から通信先への接続要求を受けて、前記生成された相互通信許否表に基づいて、当該要求元から要求された通信先への通信の許否を決定する手段と、前記決定が通信を許可するとの決定であった場合に、前記要求元と通信先との通信を仲介する手段と、として機能させることとしたものである。
【発明の効果】
【００１０】
請求項１、５記載の発明によると、通信の要求元が保持するソフトウエアの版による通信の許否を予め定めて相互通信許否表としておくので、接続制御に係る処理の負担を軽減しつつ、条件を満足しない情報処理装置の通信を制御できる。
【００１１】
請求項２記載の発明によると、相互通信許否を通信先のネットワークごとに定めることができる。
【００１２】
請求項３記載の発明によると、相互通信許否を個々の通信先ごとに定めることができる。
【００１３】
請求項４記載の発明によると、相互通信を許可しないときに、ソフトウエアのダウンロードを勧めることができる。
【図面の簡単な説明】
【００１４】
【図１】本発明の実施の形態に係る通信制御装置の構成例を表すブロック図である。
【図２】本発明の実施の形態に係る通信制御装置が保持する版情報データベースの内容例を表す説明図である。
【図３】本発明の実施の形態に係る通信制御装置が保持する認証のための情報例を表す説明図である。
【図４】本発明の実施の形態に係る通信制御装置において設定される相互接続性情報の例を表す説明図である。
【図５】本発明の実施の形態に係る通信制御装置によるアクセス制御テーブルの生成処理例を表すフローチャート図である。
【図６】本発明の実施の形態に係る通信制御装置が生成するアクセス制御テーブルの例を表す説明図である。
【図７】本発明の実施の形態に係る通信制御装置において設定される相互接続性情報の別の例を表す説明図である。
【図８】本発明の実施の形態に係る通信制御装置が生成するアクセス制御テーブルの別の例を表す説明図である。
【図９】本発明の実施の形態に係る通信制御装置が保持するサーバの参照情報の例を表す説明図である。
【図１０】本発明の実施の形態に係る通信制御装置が通信の要求側に提示する一覧の例を表す説明図である。
【発明を実施するための形態】
【００１５】
本発明の実施の形態に係る通信制御装置１は、図１に例示するように、認証装置１０と、通信中継装置２０とを含む。ここで通信中継装置２０は、ネットワーク等の第１の通信手段を介して、通信の要求元となる情報処理装置２に接続される。さらにこの通信中継装置２０は、ネットワーク等の第２の通信手段を介して、通信先となる情報提供装置３に接続されている。なお、以下の説明では、第１の通信手段や第２の通信手段は、いずれも、イーサネット（登録商標）などのネットワークであるものとする。また、これら認証装置１０と通信中継装置２０とは一体の装置であってもよいが、ここでは機能的に別体の装置である例について示す。
【００１６】
本実施の形態の認証装置１０は、制御部１１と、記憶部１２と、インタフェース部１３とを含む。また、通信中継装置２０は、制御部２１と、記憶部２２と、インタフェース部２３と、通信部２４とを含む。ここで認証装置１０の制御部１１は、ＣＰＵ（Central Processing Unit）等のプログラム制御デバイスであり、記憶部１２に格納されたプログラムに従って動作する。この制御部１１は、インタフェース部１３を介して通信中継装置２０との間で情報を授受する。
【００１７】
またこの制御部１１は、通信中継装置２０から通信の要求元となる情報処理装置２ごとに、情報処理装置２を特定する情報と、当該情報処理装置２にインストールされているソフトウエア（オペレーティング・システムなどの基本プログラムや、情報の通信に用いられるブラウザ等のアプリケーションソフトウエア、ウィルス検知・除去等を行うセキュリティ・ソフトウエアなどの応用プログラムを含む）の版（バージョン）の情報とを含むデバイス情報を受信する。
【００１８】
ここでソフトウエアの版の情報は、ソフトウエアを特定する情報と、版を特定する情報とを関連づけた情報であり、またここでデバイス情報には、情報処理装置２にインストールされているすべてのソフトウエアに係る版の情報ではなく、予め定められた一部のソフトウエアに係る版の情報に限られてもよい。
【００１９】
制御部１１は、受信した情報処理装置２を特定する情報と、インストールされているソフトウエアの版情報とを関連づけて、版情報データベースとして、記憶部１２に格納する（図２）。なお、情報処理装置２を特定する情報には、情報処理装置２の種別（パーソナルコンピュータ、プリンタやスキャナなどの機能を複合的に実現する複合機、シン・クライアントなどの別）を表す情報や、通信に用いられるネットワークアドレス（ＭＡＣ（Media Access Control）アドレスや、ＩＰ（Internet Protocol）アドレスなど）等を含む。
【００２０】
本実施の形態では、この認証装置１０の制御部１１は、この版情報データベースを参照して、一対のネットワークアドレス・ペアについて相互の通信の許否を表すアクセス制御テーブル（相互通信許否表）を生成し、通信中継装置２０に当該生成したアクセス制御テーブルを送出する。
【００２１】
さらに、制御部１１は、情報処理装置２の利用者が入力した利用者の識別情報（利用者名など）と、パスワードなどの認証情報とを通信中継装置２０を介して受け入れる。そして図３に例示するように、記憶部１２に予め保持されている、利用者名などの利用者の識別情報と、利用者ごとに予め定められたパスワードなどの認証情報とを関連づけた認証テーブルを参照し、情報処理装置２の利用者を認証する。そして当該認証の結果を表す情報を通信中継装置２０に出力する。この制御部１１によるアクセス制御テーブルの生成の動作については、後に詳しく述べる。
【００２２】
記憶部１２は、メモリデバイスなどであり、制御部１１によって実行されるプログラムが保持される。このプログラムは、ＤＶＤ−ＲＯＭ（Digital Versatile Disc Read Only Memory）等のコンピュータ可読な記録媒体に格納されて提供され、この記憶部１２に複写されたものとしてもよい。また、本実施の形態では、この記憶部１２には既に述べたように、図２に例示される版情報データベースや、図３に例示される認証テーブルが保持されている。さらにこの記憶部１２は、制御部１１のワークメモリとしても動作する。
【００２３】
インタフェース部１３は、ＵＳＢ（Universal Serial Bus）や、ネットワークなどでよく、制御部１１から入力される指示に従い、通信中継装置２０との間で情報を送受する。また、このインタフェース部１３は、通信中継装置２０から受信する情報を制御部１１に出力する。
【００２４】
通信中継装置２０の制御部２１は、ＣＰＵ（Central Processing Unit）等のプログラム制御デバイスであり、記憶部２２に格納されたプログラムに従って動作する。この制御部２１は、通信の要求元となる情報処理装置２から、当該情報処理装置２を特定する情報と、当該情報処理装置２にインストールされているソフトウエアの版の情報とを受信し、当該情報を認証装置１０に送出する。
【００２５】
また、この制御部２１は、認証装置１０からアクセス制御テーブルの情報を受信して記憶部２２に格納し、情報処理装置２から情報提供装置３への通信要求を受け入れると、このアクセス制御テーブルを参照し、アクセス制御テーブルによって通信が許諾されている場合に、当該通信要求を、通信先として指定された情報提供装置３に中継し、そして当該通信要求に応答して情報提供装置３から受信される情報を要求元である情報処理装置２へ中継する処理（中継処理）を実行する（フィルタリング処理）。この制御部２１のフィルタリング処理の動作例については後に詳しく述べる。
【００２６】
記憶部２２は、メモリデバイスなどであり、制御部２１によって実行されるプログラムが保持される。このプログラムは、ＤＶＤ−ＲＯＭ（Digital Versatile Disc Read Only Memory）等のコンピュータ可読な記録媒体に格納されて提供され、この記憶部２２に複写されたものとしてもよい。またこの記憶部２２は、後に述べるアクセス制御テーブルを保持し、さらに制御部２１のワークメモリとしても動作する。
【００２７】
インタフェース部２３は、ＵＳＢ（Universal Serial Bus）や、ネットワークなどでよく、制御部２１から入力される指示に従い、認証装置１０との間で情報を送受する。また、このインタフェース部２３は、認証装置１０から受信する情報を制御部２１に出力する。
【００２８】
通信部２４は、ネットワーク等の通信手段に接続されるインタフェースである。本実施の形態のある例では、この通信部２４は、複数のネットワークインタフェースを含む。そしてこの通信部２４は各ネットワークインタフェースに接続されるそれぞれのネットワーク（例えばＩＰ（Internet Protocol）アドレスにより区別される複数のネットワークのそれぞれ）を介して、各ネットワークに接続されている情報処理装置２や、情報提供装置３との間で情報を送受する。ここではネットワークは例えば一つのブロードキャストが到達する範囲ごとに、複数に切り分けられているものとする。
【００２９】
情報処理装置２は、一般的なコンピュータ（サーバコンピュータ（サーバとしての動作を行うコンピュータ）を含む）、プリンタ・スキャナなどの機能を複合的に実現する複合機など、種々のコンピュータ関連機器であり、通信手段を介して通信中継装置２０に接続されている。また、この情報処理装置２は、通信中継装置２０に対し、情報提供装置３との通信を要求し、情報提供装置３との間の通信の中継を行わせる。
【００３０】
本実施の形態の一例では、この情報処理装置２には、オペレーティングシステムなどの基本ソフトウエアや、ブラウザ、ウィルス対策ソフトウエア、ダウンロードクライアントなど種々の応用プログラムがインストールされ、情報処理装置２は、これらのソフトウエア、プログラムの指示に従って動作する。
【００３１】
具体的に情報処理装置２は、通信中継装置２０に対して通信手段を介して接続されると、通信中継装置２０を介して認証装置１０宛に、予め初期に送信するべき情報として定められているデバイス情報を送信する。ここでデバイス情報には、自己（情報処理装置２）を特定する情報と、自己にインストールされている基本ソフトウエア（オペレーティング・システムなど）や、応用プログラム（情報の通信に用いられるブラウザ等のアプリケーションソフトウエア、ウィルス検知・除去等を行うセキュリティ・ソフトウエア）の版（バージョン）の情報とを含む。また既に述べたように、情報処理装置２を特定する情報には、情報処理装置２の種別（パーソナルコンピュータ、プリンタやスキャナなどの機能を複合的に実現する複合機、シン・クライアントなどの別）を表す情報や、通信に用いられるネットワークアドレス（ＭＡＣ（Media Access Control）アドレスや、ＩＰ（Internet Protocol）アドレスなど）等を含んでもよい。これらの情報は予め設定され、情報処理装置２が記憶しているものとする。
【００３２】
情報処理装置２は、利用者から入力される利用者名とパスワードなど、認証に係る情報を通信中継装置２０に送信し、また、利用者から指示された通信先の情報（通信先のネットワークアドレスやＵＲＬ（Uniform Resource Locator）等）とともに通信の要求を通信中継装置２０に送信するようにしてもよい。そして通信中継装置２０が中継する通信先である情報提供装置３から送信される情報、または通信中継装置２０からのメッセージの情報を受信し、当該受信した情報を表示する等、予め定めた処理を実行する。
【００３３】
情報提供装置３は、例えばウェブサーバやＦＴＰ（File Transfer Protocol）サーバなどであり、ネットワーク等の通信手段を介して本実施の形態の通信中継装置２０に接続されている。この情報提供装置３は、通信中継装置２０を介して情報処理装置２が送信する通信の要求に応答し、当該要求に対する情報として予め定められる情報を送信する。
【００３４】
次に本実施の形態の通信制御装置１における認証装置１０、及び通信中継装置２０の具体的動作例について説明する。ここでは本実施の形態の一例として、通信先の情報提供装置３が含まれるネットワークごとに、当該ネットワーク上の情報提供装置３と通信可能なソフトウエアの版情報を定め、相互接続性情報として認証装置１０に設定しておくものとする。具体的に認証装置１０の記憶部１２に格納される相互接続性情報は、図４に例示するように、ネットワークを特定する情報（例えば当該ネットワークのＩＰ（Internet Protocol）アドレスのうち、ネットワークのアドレスを表す部分（サブネットアドレスを除く部分））を特定する情報（ネットワークがＴＣＰ／ＩＰ（Transfer Control Protocol/Internet Protocol）ネットワークであれば、そのブロードキャストアドレスでよい）と、当該情報で特定されるネットワークに属する通信先に対して通信をする情報処理装置２の通信許否の条件として、当該情報処理装置２にインストールされているべきソフトウエアを特定する情報とその版情報とを関連づけて記録したものである。
【００３５】
図４に示した相互接続性情報の例では、ソフトウエアを特定する情報ごとに、ネットワークを特定する情報と、対応するネットワーク上の情報提供装置３と相互に通信するために必要なソフトウエアの版情報を互いに関連づけたものとしている。もっとも、相互接続性情報の例はこれに限らず、ドメイン名が「xxx.yyy.zzz」であるネットワークにおいて、「基本ソフトウエアがＡであればバージョンがＶａ、基本ソフトウエアがＢであればバージョンがＶｂであり、かつ、応用プログラムＸがインストールされ、そのバージョンがＶｘ、かつ、応用プログラムＹがインストールされ、そのバージョンがＶｙ以上である」と設定するなどとしてもよい。すなわち本実施の形態では、ソフトウエア（プログラム）を特定する情報とそれに関する版情報の範囲または値とを関連づけた条件要素を単独で、あるいは任意の論理式で組み合わせて版情報に関する条件を設定することとしてもよい。
【００３６】
また、図４の例において、ネットワークを特定する情報は、「その他のネットワーク（OTHERWISE）」や、「ＩＰアドレスが192.168以外で開始される」、あるいは「ドメイン名の末尾が.jp以外である」、さらには「ＩＰアドレスの先頭がxxxである」、「ドメイン名の末尾が.comである」のように、複数のネットワークを特定する情報となっていてもよい。
【００３７】
またここで、認証装置１０の制御部１１によるアクセス制御テーブルの生成動作について説明する。制御部１１は、アクセス制御テーブルを生成する際には、図５に示すように、版情報データベースにデバイス情報が保持されている情報処理装置２のうちから一つ（未選択のもの）を注目デバイスとして選択する（Ｓ１）。また制御部１１は、版情報データベースにおいて、注目デバイスに関連づけられたデバイス情報を注目デバイス情報として読み出す（Ｓ２）。
【００３８】
制御部１１は、さらに、相互接続性情報を参照し、ネットワークを特定する情報を順次選択しつつ以下の処理を繰り返す。すなわち選択したネットワークを特定する情報に関連する通信許否の条件と、処理Ｓ２で読み出した注目デバイス情報とを比較する（Ｓ３）。例えば図４に示した例において、192.168.120.255というブロードキャストアドレスで特定されるネットワーク（192.168.255.255のネットワークに包含される）については、ソフトウエアＳＷ−Ｐについて版情報が１．５以上であることが条件であり、また、ソフトウエアＳＷ−Ｑについて、版情報が３．２以上であることが条件となっている。
【００３９】
そこで制御部１１は、注目デバイス情報において、ソフトウエアＳＷ−Ｐについて版情報が１．５以上であり、かつ、ソフトウエアＳＷ−Ｑについて、版情報が３．２以上であるか否かが調べられる。ここで注目デバイス情報において、ソフトウエアＳＷ−Ｐについて版情報が１．５以上であり、かつ、ソフトウエアＳＷ−Ｑについて、版情報が３．２以上であれば、注目デバイス情報が通信許否の条件を満足すると判断する。一方、ソフトウエアＳＷ−Ｐについて版情報が１．５以上でないか、またはソフトウエアＳＷ−Ｑについて、版情報が３．２以上でない場合、あるいは、ソフトウエアＳＷ−ＰまたはＳＷ−Ｑのインストールが為されていないときは、注目デバイス情報が通信許否の条件を満足しないと判断する。
【００４０】
制御部１１は、注目デバイス情報が通信許否の条件を満足する場合に（条件充足の場合）、選択しているネットワークを特定する情報と、注目デバイスを特定する情報との組について、通信を許可する旨のフラグ情報を関連づける（Ｓ４）。そして処理Ｓ３からの処理を、選択していないネットワークを特定する情報がなくなるまで繰り返す（Ｓ５）。一方、処理Ｓ３において、注目デバイス情報が、選択されたネットワークを特定する情報に関連づけられた通信許否の条件を満足しない場合（条件非充足の場合）は、選択しているネットワークを特定する情報と、情報処理装置２を特定する情報との組について、通信を許可しない旨のフラグ情報を関連づけて（Ｓ６）、処理Ｓ３に移行する。
【００４１】
処理Ｓ５において、処理の繰り返しが終了すると、制御部１１は、版情報データベースに保持されている情報で特定される情報処理装置２のうち、未だ注目デバイスとして選択されていないものがあるか否かを調べ（Ｓ７）、選択されていないものがあれば（Yesならば）、処理Ｓ１に戻って未選択の情報処理装置２の一つを注目デバイスとして選択する処理から繰り返す。
【００４２】
一方、処理Ｓ７において未だ注目デバイスとして選択されていないものがない、つまり、すべての情報処理装置２についての処理を終了したと判断した場合（Noの場合）は、この処理を終了する。
【００４３】
こうして制御部１１は、版情報データベースに設定のある情報処理装置２を特定する情報と、規制情報テーブルに設定のある各ネットワークを特定する情報とに関連して、相互に通信が許可されるか否かを表すアクセス制御テーブル（図６）を生成する。制御部１１は、この生成したアクセス制御テーブルを、通信中継装置２０に対して送出する。制御部１１は、このアクセス制御テーブルの生成と送出を、通信中継装置２０からの指示により実行することとしてもよい。一例として、制御部１１は、通信中継装置２０から、情報処理装置２を特定する情報とデバイス情報とを関連づけた情報を受信したときに、この情報を版情報データベースに格納して、版情報データベースを更新するとともに、アクセス制御テーブルの生成と送出とを行ってもよい。
【００４４】
通信中継装置２０の制御部２１は、アクセス制御テーブルが認証装置１０から送出されると、当該アクセス制御テーブルを受信して記憶部２２に格納する。ここで既にアクセス制御テーブルが記憶部２２に格納されている場合は、当該既に格納されているアクセス制御テーブルに上書きして、新たに受信したアクセス制御テーブルを格納する。
【００４５】
制御部２１は、通信部２４を介して情報処理装置２から情報提供装置３への通信要求を受け入れる。この通信要求には、情報提供装置３のネットワークアドレスなど通信先を特定する情報が含まれる。制御部２１は、アクセス制御テーブルに含まれるネットワークを特定する情報のうち、当該通信要求に含まれる通信先を特定する情報（情報提供装置３のネットワークアドレスやドメイン名を含むＵＲＬ（Uniform Resource Locator）など）に対して最長一致するもの（一致する部分の長さが最長のもの）を見いだす。そして制御部２１は、当該見いだしたネットワークを特定する情報に関連づけられている通信の許否を表す情報を取得する。
【００４６】
制御部２１は、当該取得した通信の許否を表す情報が通信を許可する旨の情報である場合は、情報処理装置２から受け入れた通信要求を、通信部２４を介して情報提供装置３へ送出する。また、制御部２１は、通信部２４を介して情報提供装置３から受信される、応答に係る情報を受け入れ、通信要求元である情報処理装置２に対し、通信部２４を介して当該応答に係る情報を送出する。
【００４７】
一方制御部２１は、上記取得した通信の許否を表す情報が通信を許可しない旨の情報であった場合は、情報処理装置２に対して、予め定めた通信不可を表す情報（以下、通信不可時情報と呼ぶ）を送出する。ここで通信不可時情報は、例えば「通信ができません」のようなメッセージの情報であってもよい。
【００４８】
本実施の形態の一例に係る通信制御装置１は、以上の構成を備えてなり、次の例のように動作する。なお、以下の例において、情報処理装置２ａには、ソフトウエアＳＷ−Ｐとして版情報が２．０であるものがインストールされ、ＳＷ−Ｑとして版情報が４．０であるものがインストールされているものとする。また、情報処理装置２ｂには、ソフトウエアＳＷ−Ｐとして版情報が１．５であるものがインストールされ、ＳＷ−Ｑとして版情報が４．０であるものがインストールされているものとする。さらに、情報処理装置２ｃには、ソフトウエアＳＷ−Ｐとして版情報が１．３であるものがインストールされ、ＳＷ−Ｑとして版情報が３．２であるものがインストールされているものとする。さらに情報処理装置２ｄには、ソフトウエアＳＷ−Ｐとして版情報が２．０であるものがインストールされ、ＳＷ−Ｑとして版情報が３．０であるものがインストールされているものとする。また、以下の説明では相互接続性情報として図４に示す情報が設定されているとする。
【００４９】
認証装置１０は、各情報処理装置２ａ，２ｂ，２ｃ，２ｄから通信中継装置２０を介して受信されるデバイス情報を受け入れる。そして図４に例示した相互接続性情報を参照しつつアクセス制御テーブル（図６）を生成する。ここでは、情報処理装置２ａにインストールされたソフトウエアＳＷ−Ｐは、192.168.120.255、192.168.150.255、192.168.100.255、255.255.255.255のすべてについて条件を満足しており、ＳＷ−Ｑについても、192.168.255.255（192.168.120.255、192.168.150.255、192.168.100.255を包含する）、255.255.255.255（このアドレスは「その他」に相当する）における条件を満足しているので、192.168.120.255、192.168.150.255、192.168.100.255、255.255.255.255のすべてについて、それらの上にある情報提供装置３と、情報処理装置２ａとの相互通信を許可する設定とする（図６）。
【００５０】
また、情報処理装置２ｂにインストールされたソフトウエアＳＷ−Ｐは、192.168.120.255、192.168.150.255、192.168.100.255については条件を満足するが、255.255.255.255について条件を満足しておらず、また、ＳＷ−Ｑについては、192.168.255.255（192.168.120.255、192.168.150.255、192.168.100.255を包含する）、255.255.255.255についてすべて条件を満足している。そこで、認証装置１０は、192.168.120.255、192.168.150.255、192.168.100.255上の情報提供装置３と、情報処理装置２ｂとの相互通信を許可する設定とする。また、255.255.255.255上の情報提供装置３と情報処理装置２ｂとの相互通信を許可しない設定とする。
【００５１】
さらに情報処理装置２ｃについては、インストールされたソフトウエアＳＷ−Ｐの版情報が、192.168.100.255については条件を満足するが、その他のネットワークについては条件を満足せず、また、ソフトウエアＳＷ−Ｑの版情報においても、192.168.255.255（192.168.120.255、192.168.150.255、192.168.100.255を包含する）については条件を満足するが、255.255.255.255について条件を満足していない。そこで認証装置１０は、192.168.100.255のネットワーク上の情報提供装置３と、情報処理装置２ｃとの相互通信を許可する設定とする。また、その他の情報提供装置３と情報処理装置２ｃとの相互通信を許可しない設定とする。
【００５２】
さらに情報処理装置２ｄには、ソフトウエアＳＷ−Ｐとして版情報が２．０であるものがインストールされているので、192.168.120.255、192.168.150.255、192.168.100.255、255.255.255.255のすべてについて条件を満足しているが、ＳＷ−Ｑとして版情報が３．０であるために、192.168.255.255（192.168.120.255、192.168.150.255、192.168.100.255を包含する）、255.255.255.255における条件を満足していない。そこで認証装置１０は、情報処理装置２ｄについては、いずれのネットワーク上の情報提供装置３との通信も許可しない設定とする。
【００５３】
そして認証装置１０は、このように設定したアクセス制御テーブルを通信中継装置２０に送出する。そして通信中継装置２０がこのアクセス制御テーブルを記憶して、このアクセス制御テーブルに従って、情報処理装置２と情報提供装置３との通信の許否を決定し、許可すると決定した場合に、相互の通信を仲介する。
【００５４】
具体的に、通信中継装置２０に図６に例示したアクセス制御テーブルが格納されている場合に、情報処理装置２ｃから、アドレスが192.168.100.1である情報提供装置３への通信要求を受け入れると、通信中継装置２０は、通信要求に含まれる通信先のアドレス192.168.100.1に最長一致するネットワークを、アクセス制御テーブルから検索する。ここでは192.168.100.1に対しては192.168.100.255に最長一致するので、当該検索により見いだしたネットワーク（ブロードキャストアドレスが192.168.100.255であるネットワーク）上の情報提供装置３との相互通信の許否の情報を参照する。
【００５５】
図６の例では、情報処理装置２ｃと、ブロードキャストアドレスが192.168.100.255であるネットワーク上の情報提供装置３との相互通信は許可されているので、通信中継装置２０は、情報処理装置２ｃからの通信要求を、アドレスが192.168.100.1である情報提供装置３へ中継する。そして当該アドレスが192.168.100.1である情報提供装置３からの応答を、情報処理装置２ｃへ送出する。
【００５６】
一方、情報処理装置２ｃから、アドレスが203.178.83.194であるような情報提供装置３への通信要求を受け入れると、通信中継装置２０は、通信要求に含まれる通信先のアドレス203.178.83.194に最長一致するネットワークを、アクセス制御テーブルから検索する。ここでは203.178.83.194に対して最長一致するものがない。このような場合は、通信中継装置２０の制御部２１が「その他」に相当する（255.255.255.255の）ネットワークに対する相互通信の許否の情報を参照することとすればよい。
【００５７】
ここでは「その他」に相当する（255.255.255.255の）ネットワーク上の情報提供装置３と、情報処理装置２ｃとの間の通信は許可しない設定とされているので、通信中継装置２０は、情報処理装置２ｃに対して通信ができない旨の情報を送出する。そして情報処理装置２ｃでは、当該情報を利用者に提示する等の処理を行う。
【００５８】
［通信先ごとの設定］
ここまでの説明では、相互接続性情報はネットワークごとに、ソフトウエアの版情報に係る条件を定めていたが、本実施の形態はこれだけに限られない。すなわち、相互接続性情報として通信先ごと（例えばアドレスごと）に、当該通信先の情報提供装置３と相互に通信するために必要とされるソフトウエアの版情報の条件を定めてもよい。
【００５９】
図７は、その一例を表す説明図である。図７の例では、ソフトウエアＳＷ−Ｒの版情報について、通信先192.168.100.77は、版情報が５．０以上であることを要求し、通信先192.168.100.88は、版情報が４．２以上であることを要求し…というように定められている。
【００６０】
この例では、情報処理装置２の各々について、インストールされているソフトウエアＳＷ−Ｒの版情報と要求された版情報とを比較して、各通信先に対応する相互通信の許否がアクセス制御テーブルに設定される（図８（ａ））。また、ネットワークごとの設定と通信先ごとの設定とが相互接続性情報において混在していても構わない。例えば相互接続情報として図４に例示したネットワークごとの設定と、図７に例示した通信先ごとの設定との双方を含む場合、認証装置１０が生成するアクセス制御テーブルは、図８（ｂ）に例示するように、各情報処理装置２と各ネットワークを特定する情報とに対応する通信の許否と、各情報処理装置２と各通信先に対応する通信の許否とを含むものとなる。
【００６１】
具体的に、通信中継装置２０に図８（ｂ）に例示したアクセス制御テーブルが格納されているときに、情報処理装置２ｃから、アドレスが192.168.100.1である情報提供装置３への通信要求を受け入れると、通信中継装置２０は、通信要求に含まれる通信先のアドレス192.168.100.1に最長一致するネットワークを、アクセス制御テーブルから検索する。ここでは192.168.100.1に対しては192.168.100.255に最長一致するので、当該検索により見いだしたネットワーク（ブロードキャストアドレスが192.168.100.255であるネットワーク）上の情報提供装置３との相互通信の許否の情報を参照する。
【００６２】
図８（ｂ）の例では、情報処理装置２ｃと、ブロードキャストアドレスが192.168.100.255であるネットワーク上の情報提供装置３との相互通信は許可されているので、通信中継装置２０は、情報処理装置２ｃからの通信要求を、アドレスが192.168.100.1である情報提供装置３へ中継する。そして当該アドレスが192.168.100.1である情報提供装置３からの応答を、情報処理装置２ｃへ送出する。
【００６３】
さらに情報処理装置２ｃから、アドレスが192.168.100.77である情報提供装置３への通信要求を受け入れると、通信中継装置２０は、通信要求に含まれる通信先のアドレス192.168.100.77に最長一致するネットワークを、アクセス制御テーブルから検索する。ここでは192.168.100.77は、アクセス制御テーブル上の192.168.100.77そのものに最長一致するので、当該検索により見いだした通信先である情報提供装置３との相互通信の許否の情報を参照する。
【００６４】
図８（ｂ）の例では、情報処理装置２ｃと、アドレスが192.168.100.77である情報提供装置３との相互通信は許可されていないので、通信中継装置２０は、情報処理装置２ｃに対して通信ができない旨の情報を送出する。そして情報処理装置２ｃでは、当該情報を利用者に提示する等の処理を行う。
【００６５】
［ダウンロードの案内］
また、ここでは通信が許可されていない情報提供装置３との通信が情報処理装置２から要求された場合に、通信中継装置２０が、当該要求元の情報処理装置２に対して、通信ができない旨の情報を送出することとしていたが、本実施の形態は、これに限られない。すなわち、要求した通信が許可されない当該情報処理装置２に対して、当該通信ができない旨の設定の原因となったソフトウエアの新しい版をダウンロードするよう指示してもよい。この場合、通信中継装置２０はさらに当該ソフトウエアのダウンロードが可能なサーバのアドレス（参照情報）を案内してもよい。
【００６６】
一例として、通信中継装置２０はソフトウエアを特定する情報と、当該情報で特定されるソフトウエアの新しい版をダウンロード可能なサーバのアドレスとを関連づけたテーブル（図９）を記憶部２２に保持しておく。そして制御部２１が、通信の要求を送信した情報処理装置２について、要求された通信先との相互の通信がアクセス制御テーブルにおいて許可されていない場合は、図９に例示したテーブルを参照し、ソフトウエアごとに、その新しい版をダウンロード可能なサーバのアドレスの一覧を、通信ができない旨の情報とともに通信の要求元となった情報処理装置２に対して送信してもよい。情報処理装置２の利用者は、当該サーバのアドレスを参照して、新しい版のソフトウエアをダウンロードする。
【００６７】
［理由情報の提示］
さらに本実施の形態において認証装置１０の制御部１１は、アクセス制御テーブルの作成時に次のような処理を行ってもよい。すなわち、図５に例示した処理の処理Ｓ３において、注目デバイス情報が、選択されたネットワークを特定する情報に関連づけられた通信許否の条件を満足しない場合（条件非充足の場合）は、選択しているネットワークを特定する情報と、情報処理装置２を特定する情報との組について、通信を許可しない旨のフラグ情報を関連づける（処理Ｓ６）とともに、満足されなかった通信許否の条件に係るソフトウエアを特定する情報と、当該特定されたソフトウエアの、情報処理装置２に処理の時点でインストールされている版の情報とをさらに関連づけてアクセス制御テーブルに含めてもよい。
【００６８】
例えば図５の処理Ｓ３において、ある情報処理装置２から受信した注目デバイス情報により、当該情報処理装置２にインストールされているソフトウエアＳＷ−Ｐについて版情報が１．５以上でなく、相互接続性情報に示された、192.168.120.255のネットワーク上の情報提供装置３へのアクセスが許可されていないと判断されるとすると、認証装置１０の制御部１１は、通信を許可しない旨のフラグ情報に対して、選択しているネットワークを特定する情報と、情報処理装置２を特定する情報との組について、満足されなかった通信許否の条件に係るソフトウエアを特定する情報（ここでは「ＳＷ−Ｐ」）と、当該特定されたソフトウエアの、情報処理装置２に処理の時点でインストールされている版の情報（ここでは例えば「１．４」）とをさらに関連づけて保持する。
【００６９】
なお、あるソフトウエアの版情報により、複数の通信先（ネットワークや通信先そのもの）との相互通信が許可されていない場合、当該相互通信が許可されていない複数の通信先のいずれかを選択して、通信が許可されていない通信先を表す情報の少なくとも一部として選択しているネットワークを特定する情報と、情報処理装置２を特定する情報との組に関連づけてアクセス制御テーブルに含めてもよい。
【００７０】
この例では、通信中継装置２０の制御部２１は、情報処理装置２から通信要求を受け入れ、当該通信要求に係る通信先と、当該要求元である情報処理装置２との間の相互通信の許否を表すフラグ情報を、アクセス制御テーブルから読み出し、当該読み出したフラグ情報により相互通信が許可されていないと判断したときに、当該フラグ情報に関連づけられている、ソフトウエアを特定する情報と、当該特定されたソフトウエアの、情報処理装置２にインストールされている版の情報とを読み出す。
【００７１】
そして制御部２１は、相互通信が許可されない理由を表す情報として、ソフトウエアを特定する情報と、当該特定されたソフトウエアの、情報処理装置２にインストールされている版の情報とを、通信の要求元となった情報処理装置２に対して送信する。そして情報処理装置２では、当該情報を表示する等の処理を行ってもよい。
【００７２】
またこの場合も通信中継装置２０は、ソフトウエアを特定する情報と、当該情報で特定されるソフトウエアの新しい版をダウンロード可能なサーバのアドレスとを関連づけたテーブル（図９）を保持しておいてもよい。そして制御部２１は、情報処理装置２から通信要求を受け入れ、当該通信要求に係る通信先と、当該要求元である情報処理装置２との間の相互通信の許否を表すフラグ情報を、アクセス制御テーブルから読み出し、当該読み出したフラグ情報により相互通信が許可されていないと判断したときに、当該フラグ情報に関連づけられている、ソフトウエアを特定する情報を読み出す。そして制御部２１は、当該読み出した情報で特定されるソフトウエアの新しい版をダウンロード可能なサーバのアドレスを図９に例示したテーブルを参照して取得し、上述の相互通信が許可されない理由を表す情報とともに、当該取得したサーバのアドレスの情報を、通信の要求元となった情報処理装置２に対して送信してもよい。情報処理装置２ではこれらの情報を表示し、情報処理装置２の利用者は、理由の情報を参照し、また当該サーバのアドレスを参照して、新しい版のソフトウエアをダウンロードする。
【００７３】
［一覧表示］
さらに、この場合の情報処理装置２は、ソフトウエアの新しい版に係る情報の一覧を通信中継装置２０に対して要求してもよい。この要求を受け入れた通信中継装置２０は、次のように動作する。
【００７４】
すなわち、この要求を受け入れた通信中継装置２０は、アクセス制御テーブルから要求元の情報処理装置２を特定する情報に関連づけられたフラグ情報のうち、相互通信を許可しない旨となっているフラグ情報を検索する。そしてかかるフラグ情報を見いだすと、当該フラグ情報に関連づけられている通信先を特定する情報と、ソフトウエアを特定する情報と、当該特定されたソフトウエアの、情報処理装置２にインストールされている版の情報とを読み出して、記憶部２２のワークメモリに蓄積して格納する。
【００７５】
そして通信中継装置２０は、これら読み出して蓄積した情報の一覧を、図１０（ａ）に示すような態様で表示するよう、要求元の情報処理装置２に指示する。
【００７６】
また、この例においても、通信中継装置２０は、ソフトウエアを特定する情報と、当該情報で特定されるソフトウエアの新しい版をダウンロード可能なサーバのアドレスとを関連づけたテーブル（図９）を保持しておいてもよい。そして通信中継装置２０は、アクセス制御テーブルから要求元の情報処理装置２を特定する情報に関連づけられたフラグ情報のうち、相互通信を許可しない旨となっているフラグ情報を検索し、かかるフラグ情報を見いだしたときに、当該フラグ情報に関連づけられている通信先を特定する情報と、ソフトウエアを特定する情報と、当該特定されたソフトウエアの、情報処理装置２にインストールされている版の情報とを読み出すとともに、当該読み出したソフトウエアを特定する情報に関連づけられた、当該ソフトウエアの新しい版をダウンロード可能なサーバのアドレスを図９に例示したテーブルを参照して取得する。
【００７７】
そしてこれらの、通信先を特定する情報と、ソフトウエアを特定する情報と、当該特定されたソフトウエアの、情報処理装置２にインストールされている版の情報と、当該ソフトウエアの新しい版をダウンロード可能なサーバのアドレスとを、記憶部２２のワークメモリに蓄積して格納する。
【００７８】
そして通信中継装置２０は、これら読み出して蓄積した情報の一覧を、図１０（ｂ）に示すような態様で表示するよう、要求元の情報処理装置２に指示する。この図１０（ｂ）の「ダウンロード」ボタンは、対応するソフトウエアの新しい版をダウンロード可能なサーバのアドレスにアクセスするボタンである。本実施の形態の一例では、図９のテーブルにおいて、ソフトウエアの新しい版をダウンロード可能なサーバのアドレスに代えて、ソフトウエアの新しい版をダウンロードする際にアクセスするべきＵＲＬ（これも参照情報の一例である）などを関連づけておき、この「ダウンロード」ボタンは、当該ＵＲＬから情報を取得する（ソフトウエアをダウンロードする）指示を行うためのボタンとしてもよい。
【００７９】
［ダウンロードの許可］
なお、これらの場合、通信中継装置２０は、情報処理装置２による新しい版のソフトウエアのダウンロードを可能とするため、図９に例示したテーブルに含まれる、ソフトウエアの新しい版をダウンロード可能なサーバのアドレスへの通信要求については、アクセス制御テーブルの設定によらずに情報処理装置２からの通信を許可するようにしてもよい。
【００８０】
また通信中継装置２０は次のようにして、情報処理装置２による新しい版のソフトウエアのダウンロードを可能としてもよい。すなわち、通信中継装置２０は、ソフトウエアのダウンロードのために情報処理装置２からアクセスされる可能性のあるサーバのアドレス（図９に例示したテーブルに含まれるアドレス）を、アクセス制御除外アドレスとして認証装置１０に対して送出する。そして認証装置１０に対し、アクセス制御テーブルの作成時に、当該送出したサーバのアドレスについては、通信を許可する設定とするよう指示しておく。この場合、認証装置１０は、アクセス制御テーブルを生成する際に、当該アクセス制御除外アドレスとして送出されたアドレスを通信先とするすべての情報処理装置２との相互通信を「許可」と設定する。
【００８１】
さらに、通信中継装置２０は、図９に例示したテーブルに含まれる、ソフトウエアの新しい版をダウンロード可能なサーバのアドレスであって、プライベートアドレス（ローカルＩＰアドレス）で表されるサーバなど、通信中継装置２０や、情報処理装置２と同じ組織内のネットワークにあるサーバに対してへの通信要求については、アクセス制御テーブルの設定によらずに情報処理装置２からの通信を許可するようにしてもよい
【００８２】
同様に、通信中継装置２０は、ソフトウエアのダウンロードのために情報処理装置２からアクセスされる可能性のあるサーバのアドレス（図９に例示したテーブルに含まれるアドレス）であって、プライベートアドレス（ローカルＩＰアドレス）で表されるサーバなど、通信中継装置２０や、情報処理装置２と同じ組織内のネットワークにあるサーバのアドレスを、アクセス制御除外アドレスとして認証装置１０に対して送出する。そして認証装置１０に対し、アクセス制御テーブルの作成時に、当該送出したサーバのアドレスについては、通信を許可する設定とするよう指示しておくこととしてもよい。この場合、認証装置１０は、アクセス制御テーブルを生成する際に、当該アクセス制御除外アドレスとして送出されたアドレスを通信先とするすべての情報処理装置２との相互通信を「許可」と設定することになる。
【００８３】
なお、アクセスを許可するサーバを、プライベートアドレス（ローカルＩＰアドレス）で表されるサーバなど、通信中継装置２０や、情報処理装置２と同じ組織内のネットワークにあるサーバに限定する場合、情報処理装置２は、かかるサーバ（以下区別のためダウンロードサーバと呼ぶ）に対して他のネットワーク（組織外にあるネットワーク）上のサーバからソフトウエアをダウンロードして提供するよう要求可能としてもよい。
【００８４】
この場合ダウンロードサーバには、他のネットワークにある、要求に係るソフトウエアをダウンロードさせることのできるサーバとの相互通信が可能なように、ソフトウエアがインストールされる等しているものとする。そしてダウンロードサーバは、要求に係るソフトウエアをダウンロードさせることのできるサーバと通信して、当該サーバから要求されたソフトウエアを取得する。そして当該取得したソフトウエアを要求元の情報処理装置２へ提供する。この方法としては、ダウンロードサーバが一旦、要求に係るソフトウエアをダウンロードさせることのできるサーバから要求されたソフトウエアをダウンロードして保持した上で、情報処理装置２から取得させる方法と、このダウンロードサーバが要求に係るソフトウエアをダウンロードさせることのできるサーバに対するプロキシーサーバとして動作し、情報処理装置２に対して、要求に係るソフトウエアのダウンロードを可能としても構わない。
【符号の説明】
【００８５】
１ 通信制御装置、２ 情報処理装置、３ 情報提供装置、１０ 認証装置、１１，２１ 制御部、１２，２２ 記憶部、１３，２３ インタフェース部、２０ 通信中継装置、２４ 通信部。
【技術分野】
【０００１】
本発明は、接続制御装置及びプログラムに関する。
【背景技術】
【０００２】
支社ネットワークや本社ネットワークに、クライアント端末やサーバが接続され、支社ネットワーク及び本社ネットワークは、認証サーバの管理ネットワークに接続され、クライアント端末が、本社ネットワークに接続されているサーバからデータを取得する場合には、認証サーバにアクセスし、認証サーバは、クライアント端末のウィルス対策ソフトウェアが基準バージョンでない場合には、クライアント端末のウィルス対策ソフトウェアを基準バージョンに更新した上で、サーバへの接続許可を行なうという技術が特許文献１に開示されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００６−２５２４７１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
接続制御に係る処理の負担を軽減しつつ、条件を満足しない情報処理装置の通信を制御する技術が求められている。
【課題を解決するための手段】
【０００５】
請求項１記載の発明は、接続制御装置であって、通信先ごとに、当該通信先への接続が許諾されるソフトウエアの版情報に関する条件を関連づけて記憶する手段と、要求元となり得る情報処理装置が保持するソフトウエアの版が、当該取得した条件を満足するか否かを判断する判断手段と、前記判断の結果、要求元のソフトウエアの版が、当該取得した条件を満足する場合に、前記通信先への接続を許諾する設定とした相互通信許否表を生成する手段と、要求元から通信先への接続要求を受けて、前記生成された相互通信許否表に基づいて、当該要求元から要求された通信先への通信の許否を決定する手段と、前記決定が通信を許可するとの決定であった場合に、前記要求元と通信先との通信を仲介する手段と、を含むこととしたものである。
【０００６】
請求項２記載の発明は、請求項１記載の接続制御装置であって、各通信先が属する通信手段ごとに、接続が許諾されるソフトウエアの版情報に関する前記条件が設定されることとしたものである。
【０００７】
請求項３記載の発明は、請求項１記載の接続制御装置であって、各通信先ごとに、接続が許諾されるソフトウエアの版情報に関する前記条件が設定されることとしたものである。
【０００８】
請求項４記載の発明は、請求項１から３のいずれか一項に記載の接続制御装置であって、前記決定が通信を許可しないとの決定であった場合に、条件を満足するソフトウエアの版の参照情報を提供する手段と、をさらに含むこととしたものである。
【０００９】
請求項５記載の発明はプログラムであって、コンピュータを、通信先ごとに、当該通信先への接続が許諾されるソフトウエアの版情報に関する条件を関連づけて記憶する手段と、要求元となり得る情報処理装置が保持するソフトウエアの版が、当該取得した条件を満足するか否かを判断する判断手段と、前記判断の結果、要求元のソフトウエアの版が、当該取得した条件を満足する場合に、前記通信先への接続を許諾する設定とした相互通信許否表を生成する手段と、要求元から通信先への接続要求を受けて、前記生成された相互通信許否表に基づいて、当該要求元から要求された通信先への通信の許否を決定する手段と、前記決定が通信を許可するとの決定であった場合に、前記要求元と通信先との通信を仲介する手段と、として機能させることとしたものである。
【発明の効果】
【００１０】
請求項１、５記載の発明によると、通信の要求元が保持するソフトウエアの版による通信の許否を予め定めて相互通信許否表としておくので、接続制御に係る処理の負担を軽減しつつ、条件を満足しない情報処理装置の通信を制御できる。
【００１１】
請求項２記載の発明によると、相互通信許否を通信先のネットワークごとに定めることができる。
【００１２】
請求項３記載の発明によると、相互通信許否を個々の通信先ごとに定めることができる。
【００１３】
請求項４記載の発明によると、相互通信を許可しないときに、ソフトウエアのダウンロードを勧めることができる。
【図面の簡単な説明】
【００１４】
【図１】本発明の実施の形態に係る通信制御装置の構成例を表すブロック図である。
【図２】本発明の実施の形態に係る通信制御装置が保持する版情報データベースの内容例を表す説明図である。
【図３】本発明の実施の形態に係る通信制御装置が保持する認証のための情報例を表す説明図である。
【図４】本発明の実施の形態に係る通信制御装置において設定される相互接続性情報の例を表す説明図である。
【図５】本発明の実施の形態に係る通信制御装置によるアクセス制御テーブルの生成処理例を表すフローチャート図である。
【図６】本発明の実施の形態に係る通信制御装置が生成するアクセス制御テーブルの例を表す説明図である。
【図７】本発明の実施の形態に係る通信制御装置において設定される相互接続性情報の別の例を表す説明図である。
【図８】本発明の実施の形態に係る通信制御装置が生成するアクセス制御テーブルの別の例を表す説明図である。
【図９】本発明の実施の形態に係る通信制御装置が保持するサーバの参照情報の例を表す説明図である。
【図１０】本発明の実施の形態に係る通信制御装置が通信の要求側に提示する一覧の例を表す説明図である。
【発明を実施するための形態】
【００１５】
本発明の実施の形態に係る通信制御装置１は、図１に例示するように、認証装置１０と、通信中継装置２０とを含む。ここで通信中継装置２０は、ネットワーク等の第１の通信手段を介して、通信の要求元となる情報処理装置２に接続される。さらにこの通信中継装置２０は、ネットワーク等の第２の通信手段を介して、通信先となる情報提供装置３に接続されている。なお、以下の説明では、第１の通信手段や第２の通信手段は、いずれも、イーサネット（登録商標）などのネットワークであるものとする。また、これら認証装置１０と通信中継装置２０とは一体の装置であってもよいが、ここでは機能的に別体の装置である例について示す。
【００１６】
本実施の形態の認証装置１０は、制御部１１と、記憶部１２と、インタフェース部１３とを含む。また、通信中継装置２０は、制御部２１と、記憶部２２と、インタフェース部２３と、通信部２４とを含む。ここで認証装置１０の制御部１１は、ＣＰＵ（Central Processing Unit）等のプログラム制御デバイスであり、記憶部１２に格納されたプログラムに従って動作する。この制御部１１は、インタフェース部１３を介して通信中継装置２０との間で情報を授受する。
【００１７】
またこの制御部１１は、通信中継装置２０から通信の要求元となる情報処理装置２ごとに、情報処理装置２を特定する情報と、当該情報処理装置２にインストールされているソフトウエア（オペレーティング・システムなどの基本プログラムや、情報の通信に用いられるブラウザ等のアプリケーションソフトウエア、ウィルス検知・除去等を行うセキュリティ・ソフトウエアなどの応用プログラムを含む）の版（バージョン）の情報とを含むデバイス情報を受信する。
【００１８】
ここでソフトウエアの版の情報は、ソフトウエアを特定する情報と、版を特定する情報とを関連づけた情報であり、またここでデバイス情報には、情報処理装置２にインストールされているすべてのソフトウエアに係る版の情報ではなく、予め定められた一部のソフトウエアに係る版の情報に限られてもよい。
【００１９】
制御部１１は、受信した情報処理装置２を特定する情報と、インストールされているソフトウエアの版情報とを関連づけて、版情報データベースとして、記憶部１２に格納する（図２）。なお、情報処理装置２を特定する情報には、情報処理装置２の種別（パーソナルコンピュータ、プリンタやスキャナなどの機能を複合的に実現する複合機、シン・クライアントなどの別）を表す情報や、通信に用いられるネットワークアドレス（ＭＡＣ（Media Access Control）アドレスや、ＩＰ（Internet Protocol）アドレスなど）等を含む。
【００２０】
本実施の形態では、この認証装置１０の制御部１１は、この版情報データベースを参照して、一対のネットワークアドレス・ペアについて相互の通信の許否を表すアクセス制御テーブル（相互通信許否表）を生成し、通信中継装置２０に当該生成したアクセス制御テーブルを送出する。
【００２１】
さらに、制御部１１は、情報処理装置２の利用者が入力した利用者の識別情報（利用者名など）と、パスワードなどの認証情報とを通信中継装置２０を介して受け入れる。そして図３に例示するように、記憶部１２に予め保持されている、利用者名などの利用者の識別情報と、利用者ごとに予め定められたパスワードなどの認証情報とを関連づけた認証テーブルを参照し、情報処理装置２の利用者を認証する。そして当該認証の結果を表す情報を通信中継装置２０に出力する。この制御部１１によるアクセス制御テーブルの生成の動作については、後に詳しく述べる。
【００２２】
記憶部１２は、メモリデバイスなどであり、制御部１１によって実行されるプログラムが保持される。このプログラムは、ＤＶＤ−ＲＯＭ（Digital Versatile Disc Read Only Memory）等のコンピュータ可読な記録媒体に格納されて提供され、この記憶部１２に複写されたものとしてもよい。また、本実施の形態では、この記憶部１２には既に述べたように、図２に例示される版情報データベースや、図３に例示される認証テーブルが保持されている。さらにこの記憶部１２は、制御部１１のワークメモリとしても動作する。
【００２３】
インタフェース部１３は、ＵＳＢ（Universal Serial Bus）や、ネットワークなどでよく、制御部１１から入力される指示に従い、通信中継装置２０との間で情報を送受する。また、このインタフェース部１３は、通信中継装置２０から受信する情報を制御部１１に出力する。
【００２４】
通信中継装置２０の制御部２１は、ＣＰＵ（Central Processing Unit）等のプログラム制御デバイスであり、記憶部２２に格納されたプログラムに従って動作する。この制御部２１は、通信の要求元となる情報処理装置２から、当該情報処理装置２を特定する情報と、当該情報処理装置２にインストールされているソフトウエアの版の情報とを受信し、当該情報を認証装置１０に送出する。
【００２５】
また、この制御部２１は、認証装置１０からアクセス制御テーブルの情報を受信して記憶部２２に格納し、情報処理装置２から情報提供装置３への通信要求を受け入れると、このアクセス制御テーブルを参照し、アクセス制御テーブルによって通信が許諾されている場合に、当該通信要求を、通信先として指定された情報提供装置３に中継し、そして当該通信要求に応答して情報提供装置３から受信される情報を要求元である情報処理装置２へ中継する処理（中継処理）を実行する（フィルタリング処理）。この制御部２１のフィルタリング処理の動作例については後に詳しく述べる。
【００２６】
記憶部２２は、メモリデバイスなどであり、制御部２１によって実行されるプログラムが保持される。このプログラムは、ＤＶＤ−ＲＯＭ（Digital Versatile Disc Read Only Memory）等のコンピュータ可読な記録媒体に格納されて提供され、この記憶部２２に複写されたものとしてもよい。またこの記憶部２２は、後に述べるアクセス制御テーブルを保持し、さらに制御部２１のワークメモリとしても動作する。
【００２７】
インタフェース部２３は、ＵＳＢ（Universal Serial Bus）や、ネットワークなどでよく、制御部２１から入力される指示に従い、認証装置１０との間で情報を送受する。また、このインタフェース部２３は、認証装置１０から受信する情報を制御部２１に出力する。
【００２８】
通信部２４は、ネットワーク等の通信手段に接続されるインタフェースである。本実施の形態のある例では、この通信部２４は、複数のネットワークインタフェースを含む。そしてこの通信部２４は各ネットワークインタフェースに接続されるそれぞれのネットワーク（例えばＩＰ（Internet Protocol）アドレスにより区別される複数のネットワークのそれぞれ）を介して、各ネットワークに接続されている情報処理装置２や、情報提供装置３との間で情報を送受する。ここではネットワークは例えば一つのブロードキャストが到達する範囲ごとに、複数に切り分けられているものとする。
【００２９】
情報処理装置２は、一般的なコンピュータ（サーバコンピュータ（サーバとしての動作を行うコンピュータ）を含む）、プリンタ・スキャナなどの機能を複合的に実現する複合機など、種々のコンピュータ関連機器であり、通信手段を介して通信中継装置２０に接続されている。また、この情報処理装置２は、通信中継装置２０に対し、情報提供装置３との通信を要求し、情報提供装置３との間の通信の中継を行わせる。
【００３０】
本実施の形態の一例では、この情報処理装置２には、オペレーティングシステムなどの基本ソフトウエアや、ブラウザ、ウィルス対策ソフトウエア、ダウンロードクライアントなど種々の応用プログラムがインストールされ、情報処理装置２は、これらのソフトウエア、プログラムの指示に従って動作する。
【００３１】
具体的に情報処理装置２は、通信中継装置２０に対して通信手段を介して接続されると、通信中継装置２０を介して認証装置１０宛に、予め初期に送信するべき情報として定められているデバイス情報を送信する。ここでデバイス情報には、自己（情報処理装置２）を特定する情報と、自己にインストールされている基本ソフトウエア（オペレーティング・システムなど）や、応用プログラム（情報の通信に用いられるブラウザ等のアプリケーションソフトウエア、ウィルス検知・除去等を行うセキュリティ・ソフトウエア）の版（バージョン）の情報とを含む。また既に述べたように、情報処理装置２を特定する情報には、情報処理装置２の種別（パーソナルコンピュータ、プリンタやスキャナなどの機能を複合的に実現する複合機、シン・クライアントなどの別）を表す情報や、通信に用いられるネットワークアドレス（ＭＡＣ（Media Access Control）アドレスや、ＩＰ（Internet Protocol）アドレスなど）等を含んでもよい。これらの情報は予め設定され、情報処理装置２が記憶しているものとする。
【００３２】
情報処理装置２は、利用者から入力される利用者名とパスワードなど、認証に係る情報を通信中継装置２０に送信し、また、利用者から指示された通信先の情報（通信先のネットワークアドレスやＵＲＬ（Uniform Resource Locator）等）とともに通信の要求を通信中継装置２０に送信するようにしてもよい。そして通信中継装置２０が中継する通信先である情報提供装置３から送信される情報、または通信中継装置２０からのメッセージの情報を受信し、当該受信した情報を表示する等、予め定めた処理を実行する。
【００３３】
情報提供装置３は、例えばウェブサーバやＦＴＰ（File Transfer Protocol）サーバなどであり、ネットワーク等の通信手段を介して本実施の形態の通信中継装置２０に接続されている。この情報提供装置３は、通信中継装置２０を介して情報処理装置２が送信する通信の要求に応答し、当該要求に対する情報として予め定められる情報を送信する。
【００３４】
次に本実施の形態の通信制御装置１における認証装置１０、及び通信中継装置２０の具体的動作例について説明する。ここでは本実施の形態の一例として、通信先の情報提供装置３が含まれるネットワークごとに、当該ネットワーク上の情報提供装置３と通信可能なソフトウエアの版情報を定め、相互接続性情報として認証装置１０に設定しておくものとする。具体的に認証装置１０の記憶部１２に格納される相互接続性情報は、図４に例示するように、ネットワークを特定する情報（例えば当該ネットワークのＩＰ（Internet Protocol）アドレスのうち、ネットワークのアドレスを表す部分（サブネットアドレスを除く部分））を特定する情報（ネットワークがＴＣＰ／ＩＰ（Transfer Control Protocol/Internet Protocol）ネットワークであれば、そのブロードキャストアドレスでよい）と、当該情報で特定されるネットワークに属する通信先に対して通信をする情報処理装置２の通信許否の条件として、当該情報処理装置２にインストールされているべきソフトウエアを特定する情報とその版情報とを関連づけて記録したものである。
【００３５】
図４に示した相互接続性情報の例では、ソフトウエアを特定する情報ごとに、ネットワークを特定する情報と、対応するネットワーク上の情報提供装置３と相互に通信するために必要なソフトウエアの版情報を互いに関連づけたものとしている。もっとも、相互接続性情報の例はこれに限らず、ドメイン名が「xxx.yyy.zzz」であるネットワークにおいて、「基本ソフトウエアがＡであればバージョンがＶａ、基本ソフトウエアがＢであればバージョンがＶｂであり、かつ、応用プログラムＸがインストールされ、そのバージョンがＶｘ、かつ、応用プログラムＹがインストールされ、そのバージョンがＶｙ以上である」と設定するなどとしてもよい。すなわち本実施の形態では、ソフトウエア（プログラム）を特定する情報とそれに関する版情報の範囲または値とを関連づけた条件要素を単独で、あるいは任意の論理式で組み合わせて版情報に関する条件を設定することとしてもよい。
【００３６】
また、図４の例において、ネットワークを特定する情報は、「その他のネットワーク（OTHERWISE）」や、「ＩＰアドレスが192.168以外で開始される」、あるいは「ドメイン名の末尾が.jp以外である」、さらには「ＩＰアドレスの先頭がxxxである」、「ドメイン名の末尾が.comである」のように、複数のネットワークを特定する情報となっていてもよい。
【００３７】
またここで、認証装置１０の制御部１１によるアクセス制御テーブルの生成動作について説明する。制御部１１は、アクセス制御テーブルを生成する際には、図５に示すように、版情報データベースにデバイス情報が保持されている情報処理装置２のうちから一つ（未選択のもの）を注目デバイスとして選択する（Ｓ１）。また制御部１１は、版情報データベースにおいて、注目デバイスに関連づけられたデバイス情報を注目デバイス情報として読み出す（Ｓ２）。
【００３８】
制御部１１は、さらに、相互接続性情報を参照し、ネットワークを特定する情報を順次選択しつつ以下の処理を繰り返す。すなわち選択したネットワークを特定する情報に関連する通信許否の条件と、処理Ｓ２で読み出した注目デバイス情報とを比較する（Ｓ３）。例えば図４に示した例において、192.168.120.255というブロードキャストアドレスで特定されるネットワーク（192.168.255.255のネットワークに包含される）については、ソフトウエアＳＷ−Ｐについて版情報が１．５以上であることが条件であり、また、ソフトウエアＳＷ−Ｑについて、版情報が３．２以上であることが条件となっている。
【００３９】
そこで制御部１１は、注目デバイス情報において、ソフトウエアＳＷ−Ｐについて版情報が１．５以上であり、かつ、ソフトウエアＳＷ−Ｑについて、版情報が３．２以上であるか否かが調べられる。ここで注目デバイス情報において、ソフトウエアＳＷ−Ｐについて版情報が１．５以上であり、かつ、ソフトウエアＳＷ−Ｑについて、版情報が３．２以上であれば、注目デバイス情報が通信許否の条件を満足すると判断する。一方、ソフトウエアＳＷ−Ｐについて版情報が１．５以上でないか、またはソフトウエアＳＷ−Ｑについて、版情報が３．２以上でない場合、あるいは、ソフトウエアＳＷ−ＰまたはＳＷ−Ｑのインストールが為されていないときは、注目デバイス情報が通信許否の条件を満足しないと判断する。
【００４０】
制御部１１は、注目デバイス情報が通信許否の条件を満足する場合に（条件充足の場合）、選択しているネットワークを特定する情報と、注目デバイスを特定する情報との組について、通信を許可する旨のフラグ情報を関連づける（Ｓ４）。そして処理Ｓ３からの処理を、選択していないネットワークを特定する情報がなくなるまで繰り返す（Ｓ５）。一方、処理Ｓ３において、注目デバイス情報が、選択されたネットワークを特定する情報に関連づけられた通信許否の条件を満足しない場合（条件非充足の場合）は、選択しているネットワークを特定する情報と、情報処理装置２を特定する情報との組について、通信を許可しない旨のフラグ情報を関連づけて（Ｓ６）、処理Ｓ３に移行する。
【００４１】
処理Ｓ５において、処理の繰り返しが終了すると、制御部１１は、版情報データベースに保持されている情報で特定される情報処理装置２のうち、未だ注目デバイスとして選択されていないものがあるか否かを調べ（Ｓ７）、選択されていないものがあれば（Yesならば）、処理Ｓ１に戻って未選択の情報処理装置２の一つを注目デバイスとして選択する処理から繰り返す。
【００４２】
一方、処理Ｓ７において未だ注目デバイスとして選択されていないものがない、つまり、すべての情報処理装置２についての処理を終了したと判断した場合（Noの場合）は、この処理を終了する。
【００４３】
こうして制御部１１は、版情報データベースに設定のある情報処理装置２を特定する情報と、規制情報テーブルに設定のある各ネットワークを特定する情報とに関連して、相互に通信が許可されるか否かを表すアクセス制御テーブル（図６）を生成する。制御部１１は、この生成したアクセス制御テーブルを、通信中継装置２０に対して送出する。制御部１１は、このアクセス制御テーブルの生成と送出を、通信中継装置２０からの指示により実行することとしてもよい。一例として、制御部１１は、通信中継装置２０から、情報処理装置２を特定する情報とデバイス情報とを関連づけた情報を受信したときに、この情報を版情報データベースに格納して、版情報データベースを更新するとともに、アクセス制御テーブルの生成と送出とを行ってもよい。
【００４４】
通信中継装置２０の制御部２１は、アクセス制御テーブルが認証装置１０から送出されると、当該アクセス制御テーブルを受信して記憶部２２に格納する。ここで既にアクセス制御テーブルが記憶部２２に格納されている場合は、当該既に格納されているアクセス制御テーブルに上書きして、新たに受信したアクセス制御テーブルを格納する。
【００４５】
制御部２１は、通信部２４を介して情報処理装置２から情報提供装置３への通信要求を受け入れる。この通信要求には、情報提供装置３のネットワークアドレスなど通信先を特定する情報が含まれる。制御部２１は、アクセス制御テーブルに含まれるネットワークを特定する情報のうち、当該通信要求に含まれる通信先を特定する情報（情報提供装置３のネットワークアドレスやドメイン名を含むＵＲＬ（Uniform Resource Locator）など）に対して最長一致するもの（一致する部分の長さが最長のもの）を見いだす。そして制御部２１は、当該見いだしたネットワークを特定する情報に関連づけられている通信の許否を表す情報を取得する。
【００４６】
制御部２１は、当該取得した通信の許否を表す情報が通信を許可する旨の情報である場合は、情報処理装置２から受け入れた通信要求を、通信部２４を介して情報提供装置３へ送出する。また、制御部２１は、通信部２４を介して情報提供装置３から受信される、応答に係る情報を受け入れ、通信要求元である情報処理装置２に対し、通信部２４を介して当該応答に係る情報を送出する。
【００４７】
一方制御部２１は、上記取得した通信の許否を表す情報が通信を許可しない旨の情報であった場合は、情報処理装置２に対して、予め定めた通信不可を表す情報（以下、通信不可時情報と呼ぶ）を送出する。ここで通信不可時情報は、例えば「通信ができません」のようなメッセージの情報であってもよい。
【００４８】
本実施の形態の一例に係る通信制御装置１は、以上の構成を備えてなり、次の例のように動作する。なお、以下の例において、情報処理装置２ａには、ソフトウエアＳＷ−Ｐとして版情報が２．０であるものがインストールされ、ＳＷ−Ｑとして版情報が４．０であるものがインストールされているものとする。また、情報処理装置２ｂには、ソフトウエアＳＷ−Ｐとして版情報が１．５であるものがインストールされ、ＳＷ−Ｑとして版情報が４．０であるものがインストールされているものとする。さらに、情報処理装置２ｃには、ソフトウエアＳＷ−Ｐとして版情報が１．３であるものがインストールされ、ＳＷ−Ｑとして版情報が３．２であるものがインストールされているものとする。さらに情報処理装置２ｄには、ソフトウエアＳＷ−Ｐとして版情報が２．０であるものがインストールされ、ＳＷ−Ｑとして版情報が３．０であるものがインストールされているものとする。また、以下の説明では相互接続性情報として図４に示す情報が設定されているとする。
【００４９】
認証装置１０は、各情報処理装置２ａ，２ｂ，２ｃ，２ｄから通信中継装置２０を介して受信されるデバイス情報を受け入れる。そして図４に例示した相互接続性情報を参照しつつアクセス制御テーブル（図６）を生成する。ここでは、情報処理装置２ａにインストールされたソフトウエアＳＷ−Ｐは、192.168.120.255、192.168.150.255、192.168.100.255、255.255.255.255のすべてについて条件を満足しており、ＳＷ−Ｑについても、192.168.255.255（192.168.120.255、192.168.150.255、192.168.100.255を包含する）、255.255.255.255（このアドレスは「その他」に相当する）における条件を満足しているので、192.168.120.255、192.168.150.255、192.168.100.255、255.255.255.255のすべてについて、それらの上にある情報提供装置３と、情報処理装置２ａとの相互通信を許可する設定とする（図６）。
【００５０】
また、情報処理装置２ｂにインストールされたソフトウエアＳＷ−Ｐは、192.168.120.255、192.168.150.255、192.168.100.255については条件を満足するが、255.255.255.255について条件を満足しておらず、また、ＳＷ−Ｑについては、192.168.255.255（192.168.120.255、192.168.150.255、192.168.100.255を包含する）、255.255.255.255についてすべて条件を満足している。そこで、認証装置１０は、192.168.120.255、192.168.150.255、192.168.100.255上の情報提供装置３と、情報処理装置２ｂとの相互通信を許可する設定とする。また、255.255.255.255上の情報提供装置３と情報処理装置２ｂとの相互通信を許可しない設定とする。
【００５１】
さらに情報処理装置２ｃについては、インストールされたソフトウエアＳＷ−Ｐの版情報が、192.168.100.255については条件を満足するが、その他のネットワークについては条件を満足せず、また、ソフトウエアＳＷ−Ｑの版情報においても、192.168.255.255（192.168.120.255、192.168.150.255、192.168.100.255を包含する）については条件を満足するが、255.255.255.255について条件を満足していない。そこで認証装置１０は、192.168.100.255のネットワーク上の情報提供装置３と、情報処理装置２ｃとの相互通信を許可する設定とする。また、その他の情報提供装置３と情報処理装置２ｃとの相互通信を許可しない設定とする。
【００５２】
さらに情報処理装置２ｄには、ソフトウエアＳＷ−Ｐとして版情報が２．０であるものがインストールされているので、192.168.120.255、192.168.150.255、192.168.100.255、255.255.255.255のすべてについて条件を満足しているが、ＳＷ−Ｑとして版情報が３．０であるために、192.168.255.255（192.168.120.255、192.168.150.255、192.168.100.255を包含する）、255.255.255.255における条件を満足していない。そこで認証装置１０は、情報処理装置２ｄについては、いずれのネットワーク上の情報提供装置３との通信も許可しない設定とする。
【００５３】
そして認証装置１０は、このように設定したアクセス制御テーブルを通信中継装置２０に送出する。そして通信中継装置２０がこのアクセス制御テーブルを記憶して、このアクセス制御テーブルに従って、情報処理装置２と情報提供装置３との通信の許否を決定し、許可すると決定した場合に、相互の通信を仲介する。
【００５４】
具体的に、通信中継装置２０に図６に例示したアクセス制御テーブルが格納されている場合に、情報処理装置２ｃから、アドレスが192.168.100.1である情報提供装置３への通信要求を受け入れると、通信中継装置２０は、通信要求に含まれる通信先のアドレス192.168.100.1に最長一致するネットワークを、アクセス制御テーブルから検索する。ここでは192.168.100.1に対しては192.168.100.255に最長一致するので、当該検索により見いだしたネットワーク（ブロードキャストアドレスが192.168.100.255であるネットワーク）上の情報提供装置３との相互通信の許否の情報を参照する。
【００５５】
図６の例では、情報処理装置２ｃと、ブロードキャストアドレスが192.168.100.255であるネットワーク上の情報提供装置３との相互通信は許可されているので、通信中継装置２０は、情報処理装置２ｃからの通信要求を、アドレスが192.168.100.1である情報提供装置３へ中継する。そして当該アドレスが192.168.100.1である情報提供装置３からの応答を、情報処理装置２ｃへ送出する。
【００５６】
一方、情報処理装置２ｃから、アドレスが203.178.83.194であるような情報提供装置３への通信要求を受け入れると、通信中継装置２０は、通信要求に含まれる通信先のアドレス203.178.83.194に最長一致するネットワークを、アクセス制御テーブルから検索する。ここでは203.178.83.194に対して最長一致するものがない。このような場合は、通信中継装置２０の制御部２１が「その他」に相当する（255.255.255.255の）ネットワークに対する相互通信の許否の情報を参照することとすればよい。
【００５７】
ここでは「その他」に相当する（255.255.255.255の）ネットワーク上の情報提供装置３と、情報処理装置２ｃとの間の通信は許可しない設定とされているので、通信中継装置２０は、情報処理装置２ｃに対して通信ができない旨の情報を送出する。そして情報処理装置２ｃでは、当該情報を利用者に提示する等の処理を行う。
【００５８】
［通信先ごとの設定］
ここまでの説明では、相互接続性情報はネットワークごとに、ソフトウエアの版情報に係る条件を定めていたが、本実施の形態はこれだけに限られない。すなわち、相互接続性情報として通信先ごと（例えばアドレスごと）に、当該通信先の情報提供装置３と相互に通信するために必要とされるソフトウエアの版情報の条件を定めてもよい。
【００５９】
図７は、その一例を表す説明図である。図７の例では、ソフトウエアＳＷ−Ｒの版情報について、通信先192.168.100.77は、版情報が５．０以上であることを要求し、通信先192.168.100.88は、版情報が４．２以上であることを要求し…というように定められている。
【００６０】
この例では、情報処理装置２の各々について、インストールされているソフトウエアＳＷ−Ｒの版情報と要求された版情報とを比較して、各通信先に対応する相互通信の許否がアクセス制御テーブルに設定される（図８（ａ））。また、ネットワークごとの設定と通信先ごとの設定とが相互接続性情報において混在していても構わない。例えば相互接続情報として図４に例示したネットワークごとの設定と、図７に例示した通信先ごとの設定との双方を含む場合、認証装置１０が生成するアクセス制御テーブルは、図８（ｂ）に例示するように、各情報処理装置２と各ネットワークを特定する情報とに対応する通信の許否と、各情報処理装置２と各通信先に対応する通信の許否とを含むものとなる。
【００６１】
具体的に、通信中継装置２０に図８（ｂ）に例示したアクセス制御テーブルが格納されているときに、情報処理装置２ｃから、アドレスが192.168.100.1である情報提供装置３への通信要求を受け入れると、通信中継装置２０は、通信要求に含まれる通信先のアドレス192.168.100.1に最長一致するネットワークを、アクセス制御テーブルから検索する。ここでは192.168.100.1に対しては192.168.100.255に最長一致するので、当該検索により見いだしたネットワーク（ブロードキャストアドレスが192.168.100.255であるネットワーク）上の情報提供装置３との相互通信の許否の情報を参照する。
【００６２】
図８（ｂ）の例では、情報処理装置２ｃと、ブロードキャストアドレスが192.168.100.255であるネットワーク上の情報提供装置３との相互通信は許可されているので、通信中継装置２０は、情報処理装置２ｃからの通信要求を、アドレスが192.168.100.1である情報提供装置３へ中継する。そして当該アドレスが192.168.100.1である情報提供装置３からの応答を、情報処理装置２ｃへ送出する。
【００６３】
さらに情報処理装置２ｃから、アドレスが192.168.100.77である情報提供装置３への通信要求を受け入れると、通信中継装置２０は、通信要求に含まれる通信先のアドレス192.168.100.77に最長一致するネットワークを、アクセス制御テーブルから検索する。ここでは192.168.100.77は、アクセス制御テーブル上の192.168.100.77そのものに最長一致するので、当該検索により見いだした通信先である情報提供装置３との相互通信の許否の情報を参照する。
【００６４】
図８（ｂ）の例では、情報処理装置２ｃと、アドレスが192.168.100.77である情報提供装置３との相互通信は許可されていないので、通信中継装置２０は、情報処理装置２ｃに対して通信ができない旨の情報を送出する。そして情報処理装置２ｃでは、当該情報を利用者に提示する等の処理を行う。
【００６５】
［ダウンロードの案内］
また、ここでは通信が許可されていない情報提供装置３との通信が情報処理装置２から要求された場合に、通信中継装置２０が、当該要求元の情報処理装置２に対して、通信ができない旨の情報を送出することとしていたが、本実施の形態は、これに限られない。すなわち、要求した通信が許可されない当該情報処理装置２に対して、当該通信ができない旨の設定の原因となったソフトウエアの新しい版をダウンロードするよう指示してもよい。この場合、通信中継装置２０はさらに当該ソフトウエアのダウンロードが可能なサーバのアドレス（参照情報）を案内してもよい。
【００６６】
一例として、通信中継装置２０はソフトウエアを特定する情報と、当該情報で特定されるソフトウエアの新しい版をダウンロード可能なサーバのアドレスとを関連づけたテーブル（図９）を記憶部２２に保持しておく。そして制御部２１が、通信の要求を送信した情報処理装置２について、要求された通信先との相互の通信がアクセス制御テーブルにおいて許可されていない場合は、図９に例示したテーブルを参照し、ソフトウエアごとに、その新しい版をダウンロード可能なサーバのアドレスの一覧を、通信ができない旨の情報とともに通信の要求元となった情報処理装置２に対して送信してもよい。情報処理装置２の利用者は、当該サーバのアドレスを参照して、新しい版のソフトウエアをダウンロードする。
【００６７】
［理由情報の提示］
さらに本実施の形態において認証装置１０の制御部１１は、アクセス制御テーブルの作成時に次のような処理を行ってもよい。すなわち、図５に例示した処理の処理Ｓ３において、注目デバイス情報が、選択されたネットワークを特定する情報に関連づけられた通信許否の条件を満足しない場合（条件非充足の場合）は、選択しているネットワークを特定する情報と、情報処理装置２を特定する情報との組について、通信を許可しない旨のフラグ情報を関連づける（処理Ｓ６）とともに、満足されなかった通信許否の条件に係るソフトウエアを特定する情報と、当該特定されたソフトウエアの、情報処理装置２に処理の時点でインストールされている版の情報とをさらに関連づけてアクセス制御テーブルに含めてもよい。
【００６８】
例えば図５の処理Ｓ３において、ある情報処理装置２から受信した注目デバイス情報により、当該情報処理装置２にインストールされているソフトウエアＳＷ−Ｐについて版情報が１．５以上でなく、相互接続性情報に示された、192.168.120.255のネットワーク上の情報提供装置３へのアクセスが許可されていないと判断されるとすると、認証装置１０の制御部１１は、通信を許可しない旨のフラグ情報に対して、選択しているネットワークを特定する情報と、情報処理装置２を特定する情報との組について、満足されなかった通信許否の条件に係るソフトウエアを特定する情報（ここでは「ＳＷ−Ｐ」）と、当該特定されたソフトウエアの、情報処理装置２に処理の時点でインストールされている版の情報（ここでは例えば「１．４」）とをさらに関連づけて保持する。
【００６９】
なお、あるソフトウエアの版情報により、複数の通信先（ネットワークや通信先そのもの）との相互通信が許可されていない場合、当該相互通信が許可されていない複数の通信先のいずれかを選択して、通信が許可されていない通信先を表す情報の少なくとも一部として選択しているネットワークを特定する情報と、情報処理装置２を特定する情報との組に関連づけてアクセス制御テーブルに含めてもよい。
【００７０】
この例では、通信中継装置２０の制御部２１は、情報処理装置２から通信要求を受け入れ、当該通信要求に係る通信先と、当該要求元である情報処理装置２との間の相互通信の許否を表すフラグ情報を、アクセス制御テーブルから読み出し、当該読み出したフラグ情報により相互通信が許可されていないと判断したときに、当該フラグ情報に関連づけられている、ソフトウエアを特定する情報と、当該特定されたソフトウエアの、情報処理装置２にインストールされている版の情報とを読み出す。
【００７１】
そして制御部２１は、相互通信が許可されない理由を表す情報として、ソフトウエアを特定する情報と、当該特定されたソフトウエアの、情報処理装置２にインストールされている版の情報とを、通信の要求元となった情報処理装置２に対して送信する。そして情報処理装置２では、当該情報を表示する等の処理を行ってもよい。
【００７２】
またこの場合も通信中継装置２０は、ソフトウエアを特定する情報と、当該情報で特定されるソフトウエアの新しい版をダウンロード可能なサーバのアドレスとを関連づけたテーブル（図９）を保持しておいてもよい。そして制御部２１は、情報処理装置２から通信要求を受け入れ、当該通信要求に係る通信先と、当該要求元である情報処理装置２との間の相互通信の許否を表すフラグ情報を、アクセス制御テーブルから読み出し、当該読み出したフラグ情報により相互通信が許可されていないと判断したときに、当該フラグ情報に関連づけられている、ソフトウエアを特定する情報を読み出す。そして制御部２１は、当該読み出した情報で特定されるソフトウエアの新しい版をダウンロード可能なサーバのアドレスを図９に例示したテーブルを参照して取得し、上述の相互通信が許可されない理由を表す情報とともに、当該取得したサーバのアドレスの情報を、通信の要求元となった情報処理装置２に対して送信してもよい。情報処理装置２ではこれらの情報を表示し、情報処理装置２の利用者は、理由の情報を参照し、また当該サーバのアドレスを参照して、新しい版のソフトウエアをダウンロードする。
【００７３】
［一覧表示］
さらに、この場合の情報処理装置２は、ソフトウエアの新しい版に係る情報の一覧を通信中継装置２０に対して要求してもよい。この要求を受け入れた通信中継装置２０は、次のように動作する。
【００７４】
すなわち、この要求を受け入れた通信中継装置２０は、アクセス制御テーブルから要求元の情報処理装置２を特定する情報に関連づけられたフラグ情報のうち、相互通信を許可しない旨となっているフラグ情報を検索する。そしてかかるフラグ情報を見いだすと、当該フラグ情報に関連づけられている通信先を特定する情報と、ソフトウエアを特定する情報と、当該特定されたソフトウエアの、情報処理装置２にインストールされている版の情報とを読み出して、記憶部２２のワークメモリに蓄積して格納する。
【００７５】
そして通信中継装置２０は、これら読み出して蓄積した情報の一覧を、図１０（ａ）に示すような態様で表示するよう、要求元の情報処理装置２に指示する。
【００７６】
また、この例においても、通信中継装置２０は、ソフトウエアを特定する情報と、当該情報で特定されるソフトウエアの新しい版をダウンロード可能なサーバのアドレスとを関連づけたテーブル（図９）を保持しておいてもよい。そして通信中継装置２０は、アクセス制御テーブルから要求元の情報処理装置２を特定する情報に関連づけられたフラグ情報のうち、相互通信を許可しない旨となっているフラグ情報を検索し、かかるフラグ情報を見いだしたときに、当該フラグ情報に関連づけられている通信先を特定する情報と、ソフトウエアを特定する情報と、当該特定されたソフトウエアの、情報処理装置２にインストールされている版の情報とを読み出すとともに、当該読み出したソフトウエアを特定する情報に関連づけられた、当該ソフトウエアの新しい版をダウンロード可能なサーバのアドレスを図９に例示したテーブルを参照して取得する。
【００７７】
そしてこれらの、通信先を特定する情報と、ソフトウエアを特定する情報と、当該特定されたソフトウエアの、情報処理装置２にインストールされている版の情報と、当該ソフトウエアの新しい版をダウンロード可能なサーバのアドレスとを、記憶部２２のワークメモリに蓄積して格納する。
【００７８】
そして通信中継装置２０は、これら読み出して蓄積した情報の一覧を、図１０（ｂ）に示すような態様で表示するよう、要求元の情報処理装置２に指示する。この図１０（ｂ）の「ダウンロード」ボタンは、対応するソフトウエアの新しい版をダウンロード可能なサーバのアドレスにアクセスするボタンである。本実施の形態の一例では、図９のテーブルにおいて、ソフトウエアの新しい版をダウンロード可能なサーバのアドレスに代えて、ソフトウエアの新しい版をダウンロードする際にアクセスするべきＵＲＬ（これも参照情報の一例である）などを関連づけておき、この「ダウンロード」ボタンは、当該ＵＲＬから情報を取得する（ソフトウエアをダウンロードする）指示を行うためのボタンとしてもよい。
【００７９】
［ダウンロードの許可］
なお、これらの場合、通信中継装置２０は、情報処理装置２による新しい版のソフトウエアのダウンロードを可能とするため、図９に例示したテーブルに含まれる、ソフトウエアの新しい版をダウンロード可能なサーバのアドレスへの通信要求については、アクセス制御テーブルの設定によらずに情報処理装置２からの通信を許可するようにしてもよい。
【００８０】
また通信中継装置２０は次のようにして、情報処理装置２による新しい版のソフトウエアのダウンロードを可能としてもよい。すなわち、通信中継装置２０は、ソフトウエアのダウンロードのために情報処理装置２からアクセスされる可能性のあるサーバのアドレス（図９に例示したテーブルに含まれるアドレス）を、アクセス制御除外アドレスとして認証装置１０に対して送出する。そして認証装置１０に対し、アクセス制御テーブルの作成時に、当該送出したサーバのアドレスについては、通信を許可する設定とするよう指示しておく。この場合、認証装置１０は、アクセス制御テーブルを生成する際に、当該アクセス制御除外アドレスとして送出されたアドレスを通信先とするすべての情報処理装置２との相互通信を「許可」と設定する。
【００８１】
さらに、通信中継装置２０は、図９に例示したテーブルに含まれる、ソフトウエアの新しい版をダウンロード可能なサーバのアドレスであって、プライベートアドレス（ローカルＩＰアドレス）で表されるサーバなど、通信中継装置２０や、情報処理装置２と同じ組織内のネットワークにあるサーバに対してへの通信要求については、アクセス制御テーブルの設定によらずに情報処理装置２からの通信を許可するようにしてもよい
【００８２】
同様に、通信中継装置２０は、ソフトウエアのダウンロードのために情報処理装置２からアクセスされる可能性のあるサーバのアドレス（図９に例示したテーブルに含まれるアドレス）であって、プライベートアドレス（ローカルＩＰアドレス）で表されるサーバなど、通信中継装置２０や、情報処理装置２と同じ組織内のネットワークにあるサーバのアドレスを、アクセス制御除外アドレスとして認証装置１０に対して送出する。そして認証装置１０に対し、アクセス制御テーブルの作成時に、当該送出したサーバのアドレスについては、通信を許可する設定とするよう指示しておくこととしてもよい。この場合、認証装置１０は、アクセス制御テーブルを生成する際に、当該アクセス制御除外アドレスとして送出されたアドレスを通信先とするすべての情報処理装置２との相互通信を「許可」と設定することになる。
【００８３】
なお、アクセスを許可するサーバを、プライベートアドレス（ローカルＩＰアドレス）で表されるサーバなど、通信中継装置２０や、情報処理装置２と同じ組織内のネットワークにあるサーバに限定する場合、情報処理装置２は、かかるサーバ（以下区別のためダウンロードサーバと呼ぶ）に対して他のネットワーク（組織外にあるネットワーク）上のサーバからソフトウエアをダウンロードして提供するよう要求可能としてもよい。
【００８４】
この場合ダウンロードサーバには、他のネットワークにある、要求に係るソフトウエアをダウンロードさせることのできるサーバとの相互通信が可能なように、ソフトウエアがインストールされる等しているものとする。そしてダウンロードサーバは、要求に係るソフトウエアをダウンロードさせることのできるサーバと通信して、当該サーバから要求されたソフトウエアを取得する。そして当該取得したソフトウエアを要求元の情報処理装置２へ提供する。この方法としては、ダウンロードサーバが一旦、要求に係るソフトウエアをダウンロードさせることのできるサーバから要求されたソフトウエアをダウンロードして保持した上で、情報処理装置２から取得させる方法と、このダウンロードサーバが要求に係るソフトウエアをダウンロードさせることのできるサーバに対するプロキシーサーバとして動作し、情報処理装置２に対して、要求に係るソフトウエアのダウンロードを可能としても構わない。
【符号の説明】
【００８５】
１ 通信制御装置、２ 情報処理装置、３ 情報提供装置、１０ 認証装置、１１，２１ 制御部、１２，２２ 記憶部、１３，２３ インタフェース部、２０ 通信中継装置、２４ 通信部。
【特許請求の範囲】
【請求項１】
通信先ごとに、当該通信先への接続が許諾されるソフトウエアの版情報に関する条件を関連づけて記憶する手段と、
要求元となり得る情報処理装置が保持するソフトウエアの版が、当該取得した条件を満足するか否かを判断する判断手段と、
前記判断の結果、要求元のソフトウエアの版が、当該取得した条件を満足する場合に、前記通信先への接続を許諾する設定とした相互通信許否表を生成する手段と、
要求元から通信先への接続要求を受けて、前記生成された相互通信許否表に基づいて、当該要求元から要求された通信先への通信の許否を決定する手段と、
前記決定が通信を許可するとの決定であった場合に、前記要求元と通信先との通信を仲介する手段と、
を含む接続制御装置。
【請求項２】
各通信先が属する通信手段ごとに、接続が許諾されるソフトウエアの版情報に関する前記条件が設定されることを特徴とする請求項１記載の接続制御装置。
【請求項３】
各通信先ごとに、接続が許諾されるソフトウエアの版情報に関する前記条件が設定されることを特徴とする請求項１記載の接続制御装置。
【請求項４】
前記決定が通信を許可しないとの決定であった場合に、条件を満足するソフトウエアの版の参照情報を提供する手段と、
をさらに含む請求項１から３のいずれか一項に記載の接続制御装置。
【請求項５】
コンピュータを、
通信先ごとに、当該通信先への接続が許諾されるソフトウエアの版情報に関する条件を関連づけて記憶する手段と、
要求元となり得る情報処理装置が保持するソフトウエアの版が、当該取得した条件を満足するか否かを判断する判断手段と、
前記判断の結果、要求元のソフトウエアの版が、当該取得した条件を満足する場合に、前記通信先への接続を許諾する設定とした相互通信許否表を生成する手段と、
要求元から通信先への接続要求を受けて、前記生成された相互通信許否表に基づいて、当該要求元から要求された通信先への通信の許否を決定する手段と、
前記決定が通信を許可するとの決定であった場合に、前記要求元と通信先との通信を仲介する手段と、
として機能させるプログラム。
【請求項１】
通信先ごとに、当該通信先への接続が許諾されるソフトウエアの版情報に関する条件を関連づけて記憶する手段と、
要求元となり得る情報処理装置が保持するソフトウエアの版が、当該取得した条件を満足するか否かを判断する判断手段と、
前記判断の結果、要求元のソフトウエアの版が、当該取得した条件を満足する場合に、前記通信先への接続を許諾する設定とした相互通信許否表を生成する手段と、
要求元から通信先への接続要求を受けて、前記生成された相互通信許否表に基づいて、当該要求元から要求された通信先への通信の許否を決定する手段と、
前記決定が通信を許可するとの決定であった場合に、前記要求元と通信先との通信を仲介する手段と、
を含む接続制御装置。
【請求項２】
各通信先が属する通信手段ごとに、接続が許諾されるソフトウエアの版情報に関する前記条件が設定されることを特徴とする請求項１記載の接続制御装置。
【請求項３】
各通信先ごとに、接続が許諾されるソフトウエアの版情報に関する前記条件が設定されることを特徴とする請求項１記載の接続制御装置。
【請求項４】
前記決定が通信を許可しないとの決定であった場合に、条件を満足するソフトウエアの版の参照情報を提供する手段と、
をさらに含む請求項１から３のいずれか一項に記載の接続制御装置。
【請求項５】
コンピュータを、
通信先ごとに、当該通信先への接続が許諾されるソフトウエアの版情報に関する条件を関連づけて記憶する手段と、
要求元となり得る情報処理装置が保持するソフトウエアの版が、当該取得した条件を満足するか否かを判断する判断手段と、
前記判断の結果、要求元のソフトウエアの版が、当該取得した条件を満足する場合に、前記通信先への接続を許諾する設定とした相互通信許否表を生成する手段と、
要求元から通信先への接続要求を受けて、前記生成された相互通信許否表に基づいて、当該要求元から要求された通信先への通信の許否を決定する手段と、
前記決定が通信を許可するとの決定であった場合に、前記要求元と通信先との通信を仲介する手段と、
として機能させるプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【公開番号】特開２０１１−３９７８３（Ｐ２０１１−３９７８３Ａ）
【公開日】平成２３年２月２４日（２０１１．２．２４）
【国際特許分類】
【出願番号】特願２００９−１８６６３６（Ｐ２００９−１８６６３６）
【出願日】平成２１年８月１１日（２００９．８．１１）
【出願人】（０００００５４９６）富士ゼロックス株式会社 (21,908)
【Ｆターム（参考）】
【公開日】平成２３年２月２４日（２０１１．２．２４）
【国際特許分類】
【出願日】平成２１年８月１１日（２００９．８．１１）
【出願人】（０００００５４９６）富士ゼロックス株式会社 (21,908)
【Ｆターム（参考）】
[ Back to top ]