JP2001005727A - アクセス管理装置 - Google Patents

Abstract

(57)【要約】 【課題】 利用者およびグループに対するアクセス権を
容易に管理することができるアクセス管理装置の提供。 【解決手段】 アクセス管理システム１は、各ソフトウ
ェアシステム５において利用者のアクセス権を管理をお
こなわず、アクセス管理ソフトウェアシステム３によっ
て各ソフトウェアシステム５におけるアクセス権を集中
管理する。アクセス権管理データ記憶部７は、各ソフト
ウェアシステム５毎のアクセス権を記述したアクセス権
管理データを記録する。アクセス権決定手段９は、ソフ
トウェアシステム５に対する利用者からの利用要求を受
けて、アクセス権管理データに基づいて、当該ソフトウ
ェアシステムに対するアクセス権の内容を決定する。こ
れにより、アクセス権の集中管理が行えるので、各ソフ
トウェアシステムでアクセス権の管理を行う必要がな
い。したがって、アクセス権を効率的に管理することが
できる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、アクセス管理装置
に関し、特に、アクセス権の管理を容易にすることがで
きるアクセス管理装置に関する。

【０００２】

【従来の技術】従来、あるシステムに対してアクセス権
の管理は以下のようにして行われている。まず、システ
ムにユーザーの個人情報を登録し、登録した各ユーザー
についてアクセス権を設定することによって、各ユーザ
ーの管理を行っている。したがって、システムが複数存
在する場合には、各システム毎にユーザーを登録、さら
に登録した各ユーザー毎にアクセス権を設定している。

【０００３】

【発明が解決しようとする課題】前述の方式には、以下
に示す問題点があった。複数のシステムが存在する場
合、各システムについてユーザーの登録およびアクセス
権の設定を行わなければならない。例えば、５つのシス
テムが存在する場合、一人のユーザーに関する個人情報
をシステム毎に５回登録しなければならない。その上
で、アクセス権の設定も行わなければならず、ユーザー
管理およびアクセス権管理の効率が悪い、という問題が
あった。

【０００４】そこで、本発明は、利用者およびグループ
に対するアクセス権を容易に管理することができ、かつ
複数のサーバーに対するアクセス権の管理も容易に行う
ことができるアクセス管理装置の提供を目的とする。

【０００５】

【課題を解決するための手段および発明の効果】請求項
１にかかるアクセス管理装置、請求項７にかかる記録媒
体および請求項１０にかかるアクセス管理方法では、ソ
フトウェアの利用者を階層的にグループ化し、グループ
に与えるアクセス権を記述したアクセス権管理データ
は、上位グループに与えられたアクセス権が原則的に下
位グループに引き継がれ、下位グループに異なるアクセ
ス権を付与する場合にのみ、当該下位グループに当該異
なるアクセス権を付与する記述がなされており、アクセ
ス権管理データに基づいて、ソフトウェアに対する利用
者からの利用要求を受けて、当該ソフトウェアに対する
アクセス権の内容を、階層の下位からアクセス権の記述
の有無を判断し、最も下位にあるアクセス権の記述に基
づいてアクセス権の内容を決定する。

【０００６】これにより、下位グループに上位グループ
と同じアクセス権を付与する場合には、下位グループに
付与するアクセス権をアクセス権管理データに記述せず
とも、そのグループのアクセス権の内容を判断すること
ができる。したがって、アクセス権管理データの記述を
簡素化することができ、各グループのアクセス権の管理
を容易に行うことができる。

【０００７】請求項２にかかるシステムおよび請求項１
１にかかるアクセス管理方法では、各ソフトウェアシス
テムにおいて利用者のアクセス権を管理することなく、
各ソフトウェアシステム毎のアクセス権を記述したアク
セス権管理データに基づいて、ソフトウェアシステムに
対する利用者からの利用要求を受けて、当該ソフトウェ
アシステムに対するアクセス権の内容を決定することに
よって、各ソフトウェアシステムにおけるアクセス権を
集中管理する。

【０００８】これにより、アクセス権の管理を効率よく
行うことができる。

【０００９】請求項３にかかるアクセス管理装置および
請求項８にかかる記録媒体では、各ソフトウェアシステ
ム毎のアクセス権を記述したアクセス権管理データに基
づいて、ソフトウェアシステムに対する利用者からの利
用要求を受けて、当該ソフトウェアシステムに対するア
クセス権の内容を決定する。

【００１０】これにより、アクセス権の集中管理が行え
るので、各ソフトウェアシステムでアクセス権の管理を
行う必要がない。したがって、アクセス権を効率的に管
理することができる。

【００１１】請求項４にかかるシステムおよび装置で
は、アクセス権管理データ記録部は、ソフトウェアシス
テムの利用者を階層的にグループ化し、グループに与え
る各ソフトウェアシステム毎のアクセス権を記述したア
クセス権管理データを記録するとともに、当該アクセス
権管理データでは、上位グループに与えられたアクセス
権が原則的に下位グループに引き継がれ、下位グループ
に異なるアクセス権を付与する場合にのみ、当該下位グ
ループに当該異なるアクセス権を付与する記述がなされ
ており、アクセス権決定手段は、階層の下位からアクセ
ス権の記述の有無を判断し、最も下位にあるアクセス権
の記述に基づいてアクセス権の内容を決定する。

【００１２】これにより、下位グループに上位グループ
と同じアクセス権を付与する場合には、下位グループに
付与するアクセス権をアクセス権管理データに記述せず
とも、そのグループのアクセス権の内容を判断すること
ができる。したがって、アクセス権管理データの記述を
簡素化することができ、各グループのアクセス権の管理
を容易に行うことができる。

【００１３】請求項５にかかるシステムおよび装置で
は、確認手段は、アクセス権管理データに基づいて、各
利用者に与えられるアクセス権の内容を算出し、出力す
る。これにより、各利用者のアクセス権の確認を容易に
行うことができる。

【００１４】請求項６にかかるシステムおよび装置で
は、前記ソフトウェアシステムの利用者を階層的にグル
ープ化したグループおよび各利用者に与えられるアクセ
ス権を同一の画面上に出力する。これにより、アクセス
権の確認を容易に行うことができる。

【００１５】ここで、請求項にかかる各手段と図１０、
図１１および図１２におけるフローチャートにおける各
ステップとの対応関係を示す。アクセス権決定手段は図
１０のステップＳ１からステップ９、図１１のステップ
Ｓ１１からステップＳ１５、図１２のステップＳ２１１
からステップＳ３３３およびステップＳ３５に、確認手
段は、図１０のステップＳ５、図１１のステップＳ１１
からステップＳ１３、図１２のステップＳ２１１からス
テップＳ３３３に、それぞれ対応する。

【００１６】「アクセス権管理データ記憶部」は、アク
セス権管理データを保存するための具体的な手段を含む
概念である。例えば、ハードディスク等の固定式の記憶
媒体、またフロッピーディスク、ＣＤ−Ｒ、ＣＤ−Ｒ／
Ｗ、ＤＶＤ−ＲΑＭ、メモリーカード等の取り外し可能
な記録媒体、および取り外し可能な記録媒体を装着する
各ドライブ等も含む。

【００１７】「確認手段」は、各利用者に与えられるア
クセス権の内容を出力するための具体的な手段を含む概
念である。例えば、ディスプレイ等のように画面上に出
力するものやプリンタ等のように紙等の媒体に出力する
ものであってもよい。

【００１８】「プログラムを記録した記録媒体」とは、
プログラムを記録したＲＯＭ、ＲΑＭ、フレキシブルデ
ィスク、ＣＤ−ＲＯＭ、メモリカード、ハードディスク
等の記録媒体をいう。ＣＤ−ＲＯＭやメモリ等のような
形態で記録を行うものだけでなく、通信回線、搬送波等
のように、その状態を変化させながら記録内容を伝達す
るようなものも含む概念である。また、ＣＰＵに接続さ
れて、記録されたプログラムが直接的に実行されるハー
ドディスクのような記録媒体だけでなく、一旦ハードデ
ィスク等にインストールした後に実行されるプログラム
を記録したＣＤ−ＲＯＭ等の記録媒体を含む概念であ
る。さらに、ここでいうプログラムには、直接実行可能
なプログラムだけでなく、ソース形式のプログラム、圧
縮処理がされたプログラム、暗号化されたプログラム等
を含む。また、プログラムによって実現される機能は、
当該プログラム単独で実現されるのもであってもよく、
他のプログラム（例えば、オペレーティング・システ
ム）と共同して実現されるものであってもよい。

【００１９】「ソフトウェア」とは、ハードウェアをあ
る目的のために動かす手順を与えるものであり、命令語
の一連のかたまりやデータの集団を含む概念である。例
えば、アプリケーション、データベース、オペレーティ
ング・システム等を含む。

【００２０】「グループ」とは、利用者が複数のものだ
けではなく、利用者が一人のものも含む概念である。

【００２１】

【発明の実施の形態】１．アクセス管理システムの全体
構成 図１にこの発明の一実施形態によるアクセス管理システ
ム１の全体構成を示す。アクセス管理システム１は、ア
クセス管理ソフトウェアシステム３および複数のソフト
ウェアシステム５を有している。また、アクセス管理シ
ステム１は、各ソフトウェアシステム５において利用者
のアクセス権を管理をおこなわず、アクセス管理ソフト
ウェアシステム３によって各ソフトウェアシステム５に
おけるアクセス権を集中管理する。

【００２２】アクセス権管理データ記憶部７は、各ソフ
トウェアシステム５毎のアクセス権を記述したアクセス
権管理データを記録する。アクセス権決定手段９は、ソ
フトウェアシステム５に対する利用者からの利用要求を
受けて、アクセス権管理データに基づいて、当該ソフト
ウェアシステムに対するアクセス権の内容を決定する。
確認手段１１は、アクセス権管理データに基づいて、各
利用者に与えられるアクセス権の内容を算出し、出力す
る。

【００２３】これにより、アクセス権の集中管理が行え
るので、各ソフトウェアシステムでアクセス権の管理を
行う必要がない。したがって、アクセス権を効率的に管
理することができる。

【００２４】２．アクセス管理システムのハードウェア
構成 アクセス管理システム１のハードウェア構成の一例を図
２に示す。アクセス管理システム１は、アクセス管理ソ
フトウェアシステム３としてのアクセス管理コンピュー
タ２３、ソフトウェアシステム５としてのアプリケーシ
ョンサーバー２５、データベースサーバー２７、プリン
トサーバー２９を有している。各コンピュータおよびサ
ーバーは、ネットワークを介して接続されている。ま
た、アクセス管理コンピュータ２３は、ユーザーの端末
コンピュータ２１とネットワークを介して接続されてい
る。

【００２５】次に、アクセス管理コンピュータ２３のハ
ードウェア構成の一例を図３に示す。アクセス管理コン
ピュータ２３は、ＣＰＵ３１、メモリ３３、ハードディ
スク３５、ディスプレイ３７、キーボード３９、マウス
４１、プリンタ４３、ＣＤ−ＲＯＭドライブ４５、フロ
ッピーディスクドライブ４７および通信制御部４９を有
している。

【００２６】記録媒体としてのＣＤ−ＲＯＭ５５には、
アクセス管理のためのプログラム（以下、アクセス管理
プログラムとする。）が記憶されている。アクセス管理
パソコン２３は、ＣＤ−ＲＯＭドライブ４５を介してア
クセス管理プログラムをＣＤ−ＲＯＭ５５から読み込
み、ハードディスク３５に記憶している。ＣＰＵ３１
は、ハードディスク３５に記録されているアクセス管理
プログラムにしたがって、各デバイスを制御する。

【００２７】ここで、実施形態にかかる構成要素と請求
項にかかる構成要素との対応関係を示す。ＣＰＵ３１は
アクセス権決定手段９および確認手段１１に、ハードデ
ィスク３５はアクセス権管理データ記録部７、ディスプ
レイ３７は確認手段１１に、プリンタ４３は確認手段１
１に、フロッピーディスクドライブ４７はアクセス権管
理データ記録部７に、それぞれ対応する。

【００２８】３．アクセス権管理データ 次に、アクセス権管理データについて説明する。アクセ
ス権管理データの一例を図４に示す。アクセス権管理デ
ータは、サーバー２５、２７、２９のそれぞれに対する
ユーザーのアクセス権を記述したデータであり、ユーザ
ー情報データベース、組織情報データベース、役職情報
データベースおよびグループ情報データベースを有して
いる。

【００２９】ユーザー情報とは、各ユーザー毎に生成す
る個人データである。本実施形態においては、ユーザー
情報としては、ユーザーのユーザー番号、ユーザーＩ
Ｄ、パスワード、氏名（カナ、漢字）、所属組織、所属
役職、所属グループ、アクセス権、アドレス、機器等を
設定している。

【００３０】組織情報とは、図５に示すような、階層構
造を有する組織における、組織構成単位（部、課、係な
ど）毎に生成するデータである。この実施形態では、組
織コード、組織名、上位組織、アクセス権等を設定して
いる。「上位組織」の項目の記述により、図５のような
ツリー構造を表すようにしている。

【００３１】役職情報とは、部長、課長等の階層構造を
有する役職毎に生成するデータである。この実施形態で
は、役職コード、役職名、上位役職、アクセス権等を設
定している。

【００３２】グループ情報とは、階層構造を有するグル
ープ毎に生成するデータである。この実施形態では、グ
ループ名、上位グループ、アクセス権等を設定してい
る。

【００３３】ユーザー情報は、図７に示すように組織情
報の組織構成単位の何れかに属するように関連づけられ
るつまり、ユーザー情報中の「組織」の項目の記述によ
り、当該ユーザーが何れの部、課、係に属するかが記述
される。

【００３４】同様にして、ユーザー情報は、「役職」、
「グループ」の項目の記述によって、役職情報、グルー
プ情報と関連づけられる。

【００３５】各ユーザー毎のユーザー情報、各組織単位
毎の組織情報、各役職毎の役職情報および各グループ毎
のグループ情報は、データベース化してユーザー情報デ
ータベース、組織情報データベース、役職情報データベ
ースおよびグループ情報データベースとして記憶され
る。

【００３６】この実施形態では、各ユーザーを「組
織」、「役職」、「グループ」という異なる観点からグ
ループ化し、アクセス権を記述するようにしている。し
たがって、アクセス権の設計時に、「組織」、「役
職」、「グループ」という観点毎にアクセス権を記述す
ることができ、設計が容易である。

【００３７】組織情報を例にとって、上位組織およびア
クセス権の記述を説明する。ここでは、図５に示すよう
なツリー構造を有する組織について組織情報を記述する
場合を考える。この中のＸ課に関する組織情報を記述す
る場合、「上位組織」欄には「Α部」と記述する。「ア
クセス権」欄に関しては、上位組織のアクセス権の内容
を受け継ぐ場合には何も記述せず、上位組織のアクセス
権の内容とは異なるアクセス権を記述する場合にはその
内容を記述する。例えば、Α部のアクセス権の内容が、
図６Αに示すように、アプリケーションサーバー２５、
データベースサーバー２７については「なし」であり、
プリントサーバー２９については「使用可」であるとす
る。Ｘ課のアクセス権もΑ部同様である場合には、「ア
クセス権」欄には何も記載しない。一方、Ｘ課のアクセ
ス権がデータベースサーバー２７については「読者」で
ある場合には、「アクセス権」欄に「データベース・読
者」と記述する。

【００３８】図６Ｂは、Ｘ課が上位組織であるΑ部と同
じアクセス権を有する場合、図６Ｃは、Ｘ課がΑ部とは
異なるアクセス権を有する場合である。このように、ユ
ーザーが利用できるサーバーが複数ある場合には、アク
セス権欄には利用するサーバー名および内容を記述す
る。

【００３９】このようにして、各部、各課、各係につい
ての組織情報を記述し、組織情報データベースを生成す
る。また、役職情報、グループ情報に関しても、組織情
報と同様にして、それぞれのデータベースを生成する。

【００４０】組織におけるユーザー構成の一例を図７に
示す。このような構成に基づいて、ユーザー情報に関す
る各データを入力する。例えば、ユーザー２に関するユ
ーザー情報の記述の一例を図９に示す。図９Αはユーザ
ーに対してサーバーに関する特別なアクセス権が何も与
えられていない場合、図９Ｂは、特別なアクセス権が与
えられている場合（アプリケーションサーバー２５に対
して「編集者」としてのアクセス権が与えられている）
を示している。このように、ユーザー情報においては、
ユーザーに対して各サーバーに関する特別なアクセス権
が与えられている場合にのみ、アクセス権を記述する。

【００４１】図８に、組織情報およびユーザー情報に記
述されたデータベースサーバーに対するアクセス権の内
容と、各ユーザーに与えられるアクセス権の内容との関
係を模式的に示す（他のサーバーについても同様であ
る）。この例では、Α部に「使用可」、い係に「読
者」、ろ係に「編集者」、Ｂ部に「なし」のアクセス権
が記述され、ユーザー３に「編集者」のアクセス権が記
述されているものとする。この場合の各ユーザーに与え
られるアクセス権を、右側に示した。図から明らかなよ
うに、アクセス権を体系的にとらえることができ、上位
グループのアクセス権を引き継ぐ場合には記述が不要で
あるため、その設計や変更が容易である。

【００４２】４．アクセス管理プログラムの動作 アクセス管理コンピュータ２３にインストールされてい
るアクセス管理プログラムの動作の大略を図１０に例示
するフローチャートを用いて説明する。ユーザーからの
サーバーの利用要求を端末パソコン２１を介して受ける
と、ユーザーの認証を行う（Ｓ１）。この認証は、ユー
ザーから氏名、パスワード等を取得することによって行
う。ユーザーの認証が完了すれば、どのサーバーにアク
セスするのかを決定する（つまり、アクセスオブジェク
トの決定を行う）（Ｓ３）。

【００４３】そして、ユーザー情報データベースより、
ユーザーのユーザー情報を取得する（Ｓ５）。取得した
ユーザー情報（組織、役職、アクセス権等）に基づい
て、利用しようとするアクセスオブジェクトに対するユ
ーザーのアクセス権を決定する（Ｓ７）。このアクセス
権の決定については、後述する。決定したアクセス権に
基づくサーバーへのアクセスを許可する（Ｓ９）。

【００４４】次に、前述のアクセス権の決定について、
図１１に例示するフローチャートを用いて説明する。図
１０ステップＳ５において取得したユーザー情報に基づ
いて、アクセス権が設定されているか否かを判断する
（Ｓ１１）。アクセス権が設定されていれば、ユーザー
情報のアクセス権をそのユーザーのアクセス権とする
（Ｓ１３）。ユーザー情報のアクセス権が設定されてい
なければ、ユーザー情報以外の各情報に基づいてアクセ
ス権を決定する（Ｓ１５）。

【００４５】ユーザー情報以外の情報に基づいてアクセ
ス権を決定する場合を図１２に例示するフローチャート
を用いて説明する。まず、組織情報、役職情報およびグ
ループ情報を取得する（Ｓ２１１、Ｓ２１２、Ｓ２１
３）。取得した組織情報、役職情報およびグループ情
報、それぞれにアクセス権が設定されているか否かを判
断する（Ｓ２３１、Ｓ２３２、Ｓ２３３）。各情報にア
クセス権が設定されていれば、そのアクセス権を取得す
る（Ｓ２５１、Ｓ２５２、Ｓ２５３）。

【００４６】各情報にアクセス権が設定されていなけれ
ば、各情報の直近上位に位置する階層の情報を取得する
（Ｓ２７１、Ｓ２７２、Ｓ２７３）。直近上位に位置す
る階層の情報とは、図５示したツリー構造を有する組織
を例にすると、Ｘ課の場合、直近上位に位置する階層と
はΑ部となる。したがって、Α部に関する組織情報がＸ
課に対する直近上位に位置する階層の情報ということに
なる。

【００４７】取得した各直近上位に位置する階層の情報
にアクセス権が設定されているか否かを判断する（Ｓ２
９１、Ｓ２９２、Ｓ２９３）。アクセス権が設定されて
いれば、そのアクセス権を取得する（Ｓ２５１、Ｓ２５
２、Ｓ２５３）。

【００４８】アクセス権が設定されていなければ、その
直近上位に位置する階層の情報が最上位の階層のもので
あるか否かを判断する（Ｓ３１１、Ｓ３１２、Ｓ３１
３）。最上位の階層のものであれば、その情報に対して
デフォルトのアクセス権を付与する（Ｓ３３１、Ｓ３３
２、Ｓ３３３）。最上位の階層のものでなければ、さら
に直近上位に位置する階層の情報を取得する。

【００４９】このようにして、各情報に対するアクセス
権を決定し、それぞれのアクセス権を比較する。そし
て、各アクセス権の中から、最上位に位置するアクセス
権をそのユーザのアクセス権に決定する（Ｓ３５）。例
えば、あるユーザーに対して、組織情報のアクセス権が
「編集者」、役職情報のアクセス権が「管理者」、グル
ープ情報のアクセス権が「読者」であった場合、そのユ
ーザーに対するアクセス権は「管理者」となる。これ
は、アクセス権として編集者は読者より上位に位置し、
管理者は編集者より上位に位置するように設定している
からである。

【００５０】このように、アクセス管理コンピュータ２
３では、ユーザー情報にアクセス権が設定されている場
合には、そのアクセス権をユーザーのアクセス権とす
る。ユーザー情報のアクセス権が設定されていない場合
には、その他の情報（組織情報、役職情報、グループ情
報）のそれぞれからアクセス権を取得し、最も上位に位
置するアクセス権をそのユーザーのアクセス権とする。

【００５１】５．アクセス権の表示 アクセス管理コンピュータ２３においては、ユーザーの
アクセス権をディスプレイ３７上に表示することができ
る。これによって、各ユーザーのアクセス権を確認する
ことができる。アクセス権を表示する際のディスプレイ
３７の画面の一例を図１３に示す。本実施形態において
は、組織、役職およびユーザーのツリー構造を示すツリ
ー構造表示領域Ｔ１と各組織、役職およびユーザーのア
クセス権を表示するアクセス権表示領域Α１とを同一の
画面上に表示している。このようにツリー構造およびア
クセス権を同一画面上に表示することによって、各組
織、役職およびユーザーのアクセス権の確認・変更を容
易に行うことができる。なお、「同一画面」には、スク
ロールすることによってウィンドウ内に表示される領域
をも含む。また、複数のウィンドウを画面上に表示する
場合、前のウィンドウによって隠された後のウィンドウ
のように、マウスのクリック操作等によってアクティブ
化されることによって、表示される領域も含む。但し、
スクロール操作やウィンドウのアクティブ化によること
なく、ツリー構造およびアクセス権が同一画面上に表示
されることが好ましい。

【００５２】ツリー構造表示領域Ｔ１には、組織、役職
およびユーザーに関するツリー構造が同時に表示されて
いる。なお、組織に関する項目には丸いアイコンが、役
職に関する項目には三角錐のアイコンが、また、ユーザ
ーに関する項目には人型のアイコンが、それぞれ該当す
る項目の左側に示されている。

【００５３】アクセス権表示領域Α１には、ツリー構造
表示領域Ｔ１で選択された組織、役職およびユーザーに
関するアクセス権の内容が表示される。図１３における
アクセス権表示領域Α１には、グループ／オブジェクト
および総合アクセス権が表示されている。アクセス権表
示領域Α１を左にスクロールさせるとカテゴリーが、領
域を右にスクロールさせると、その他のアクセス権（例
えば、ユーザーに関しては、そのユーザーが所属する組
織のアクセス権、そのユーザーの役職のアクセス権、そ
のユーザー自身に与えられているアクセス権等）が表示
されている（以下、図１５、１７、１９、２０、２１に
おいて同様）。

【００５４】なお、アクセス管理コンピュータは、図１
１におけるステップＳ１１、図１２におけるステップＳ
２１１からステップＳ３３３までの処理を行い、各組
織、役職、ユーザーに対応するアクセス権を取得する。
そして、それらをアクセス権表示領域Α１に表示する。
また、アクセス管理コンピュータ２３は図１１のステッ
プＳ１１、ステップＳ１３および図１２のステップＳ３
５の処理を行い、アクセス権を決定する。そして、決定
したアクセス権を総合アクセス権としてアクセス権表示
領域Α１に表示する。このように、アクセス権表示領域
Α１に、総合アクセス権だけでなく、他のアクセス権を
表示することによって、アクセス権の設計の際に各ユー
ザーのアクセス権を容易に確認することができる。

【００５５】ツリー構造表示領域Ｔ１における「松岡
猛志」さんに注目する。「松岡 猛志」さんについて
は、カテゴリー「ＮＴ管理」におけるオブジェクト「Α
ＰＰＳ」に対して、総合アクセス権「なし」が与えられ
ている（アクセス権表示領域Α１の最下位項目参照）。
なお、オブジェクト「ΑＰＰＳ」に対する総合アクセス
権としてはデフォルトのアクセス権「なし」が全員に与
えられているものとする。

【００５６】ここで、組織へのアクセス権の割り当てに
ついて説明する。例えば、「本社ネットワークサービス
２課」に関するアクセス権の変更を行うとする。この場
合、ツリー構造表示領域Ｔ１において、「本社ネットワ
ークサービス２課」を選択し、組織変更ダイアログＨ１
を表示させる。この組織変更ダイアログＨ１が表示され
た状態を図１４に示す。組織変更ダイアログＨ１には、
組織名が表示される組織名欄Ｄ１、アクセス権の内容が
表示されるアクセス権欄Ｄ３等が表示される。

【００５７】今、「本社ネットワークサービス２課」
に、オブジェクト「ΑＰＰＳ」に対するアクセス権「変
更（書き込み）」を与える場合を考える。この場合、ア
クセス権欄Ｄ３のグループ／オブジェクトの「ΑＰＰ
Ｓ」に対してアクセス権限「変更（書き込み）」を設定
する。そして、画面右下の「ＯＫ」ボタンを押すと、
「本社ネットワークサービス２課」に所属するユーザー
全員に、オブジェクト「ΑＰＰＳ」に対するアクセス権
「変更（書き込み）」が与えられる。アクセス権の変更
の結果を図１５に示す。「松岡 猛志」さんに対して、
オブジェクト「ΑＰＰＳ」に関する総合アクセス権「変
更（書き込み）」が与えられている。

【００５８】このように、組織に関するアクセス権を変
更することによって、その組織に所属するユーザーのア
クセス権も同時に変更することができる。したがって、
アクセス権の管理を容易に行うことができる。

【００５９】次に、役職へのアクセス権の割り当てにつ
いて説明する。例えば、「課責任者」に関するアクセス
権の変更を行うとする。この場合、ツリー構造表示領域
Ｔ１において、「課責任者」を選択し、役職変更ダイア
ログを表示させる。この役職変更ダイアログが表示され
た状態を図１６に示す。役職変更ダイアログＨ３には、
役職名、アクセス権等が表示される。役職変更ダイアロ
グＨ３には、役職名を表示する役職名欄Ｄ１１、アクセ
ス権の内容を表示するアクセス権欄Ｄ１３、その役職に
属するユーザーを示すユーザー欄Ｄ１５等が表示され
る。

【００６０】今、「課責任者」に、オブジェクト「ΑＰ
ＰＳ」に対するアクセス権「フルコントロール」を与え
る場合を考える。この場合、アクセス権欄Ｄ１３のグル
ープ／オブジェクトの「ΑＰＰＳ」に対してアクセス権
限「フルコントロール」を設定する。そして、画面右下
の「ＯＫ」ボタンを押すと、「課責任者」に対応するユ
ーザー全員に、オブジェクト「ΑＰＰＳ」に対するアク
セス権「フルコントロール」が与えられる。アクセス権
が変更された結果を図１７に示す。「本社ネットワーク
サービス２課」「課責任者」である「安部 渉」さんに
対して、オブジェクト「ΑＰＰＳ」に関する総合アクセ
ス権「フルコントロール」が与えられている。

【００６１】このように、役職に関するアクセス権を変
更することによって、その役職に属するユーザーのアク
セス権も同時に変更することができる。したがって、ア
クセス権の管理を容易に行うことができる。

【００６２】さらに、ユーザーへのアクセス権の割り当
てについて説明する。例えば、「松岡 猛志」さんに関
するアクセス権の変更を行うとする。この場合、ツリー
構造表示領域Ｔ１において、「松岡 猛志」さんを選択
し、ユーザー変更ダイアログを表示させる。このユーザ
ー変更ダイアログが表示された状態を図１８に示す。

【００６３】ユーザー変更ダイアログＨ５には、ユーザ
ー番号、ユーザーＩＤ、パスワード、ユーザー名（アル
ファベット、漢字）等を表示する個人情報表示部Ｄ３
１、所属組織を表示する所属組織欄Ｄ３３、役職を表示
する役職欄Ｄ３５、アクセス権の内容を表示するアクセ
ス権欄Ｄ３７等が表示される。また、ユーザー変更ダイ
アログＨ５の左下には組織変更チェックボックスＢ１が
設けられている。この組織変更チェックボックスＢ１
は、ユーザー変更ダイアログＨ５に示されているユーザ
ーに組織変更が起こったか否かを示すものある。もし、
ユーザーに組織変更が起こっていれば、組織変更チェッ
クボックスＢ１にチェックマークが入る。

【００６４】今、「松岡 猛志」さんに、オブジェクト
「ΑＰＰＳ」に対するアクセス権「フルコントロール」
を与える場合を考える。この場合、アクセス権欄Ｄ３７
のグループ／オブジェクトの「ΑＰＰＳ」に対してアク
セス権限「フルコントロール」を設定する。そして、画
面右下の「ＯＫ」ボタンを押すと、「松岡 猛志」さん
にオブジェクト「ΑＰＰＳ」に対するアクセス権「フル
コントロール」が与えられる。アクセス権の変更の結果
を図１９に示す。「松岡 猛志」さんに対して、オブジ
ェクト「ΑＰＰＳ」に関する総合アクセス権「フルコン
トロール」が与えられている。

【００６５】このように、ユーザーに関するアクセス権
を変更することによっても、そのユーザーに関するアク
セス権を変更することができる。したがって、アクセス
権の管理を容易に行うことができる。

【００６６】次に、ユーザーの組織移動にともなうアク
セス権の変更について説明する。ユーザーが組織を移動
すれば、それにともなってオブジェクトに対するアクセ
ス権を変更される。本実施形態においては、このような
ユーザーの組織移動にともなうアクセス権の変更を、ド
ラッグ＆ドロップ等の簡単な操作によって行うことがで
きる。

【００６７】例えば、「本社ネットワークサービス２
課」に所属する「櫻木 伸章」さんが、「本社ネットワ
ークサービス１課」に移動する場合を考える。この場
合、図２０に示すように、「本社ネットワークサービス
２課」の「櫻木 伸章」さんを選択し、ドラッグする。
そして、図２１に示すように、「本社ネットワークサー
ビス１課」にドロップする。

【００６８】これによって、「櫻木 伸章」さんの「本
社ネットワークサービス２課」から「本社ネットワーク
サービス１課」への組織移動が完了する。図２０に示す
ように「櫻木 伸章」さんは、「本社ネットワークサー
ビス２課」に所属していた時にはオブジェクト「ΑＰＰ
Ｓ」に対して総合アクセス権「変更（書き込み）」が与
えられていたが、「本社ネットワークサービス１課」に
組織移動となった後には、図２１に示すように、オブジ
ェクト「ΑＰＰＳ」に対して総合アクセス権「なし」が
与えられる。

【００６９】このように、ユーザーの組織移動が簡単に
行えるので、誤った組織移動を行ってしまう可能性もあ
る。この場合の手当として、組織移動を行ったユーザー
のアイコンの色が、他のユーザーのアイコンの色と違っ
たものとなるようにしている。これによって、どのユー
ザーを移動したのかを簡単に判断することができる。

【００７０】ツリー構造表示領域Ｔ１において、組織移
動を行ったユーザーを選択し、ユーザー変更ダイアログ
Ｈ５を表示させる。表示させたユーザー変更ダイアログ
は図１８に示すものと同様である。ただし、組織変更チ
ェックボックスＢ１にチェックマークが示されている。

【００７１】なお、組織変更が起こったユーザーに対し
ては、そのユーザーに関するユーザー変更ダイアログ内
の組織変更チェックボックスＢ１に自動的にチェックマ
ークが入る。これにより、今ユーザー変更ダイアログを
表示させているユーザーは組織変更されたユーザーであ
るか否かを容易に判断できるようにしている。

【００７２】前述のチェックマークを組織変更チェック
ボックスＢ１から外し、「ＯＫ」ボタンを押すことによ
って、初めてこのユーザーの組織変更が有効となる。組
織変更を行ったユーザーについては、他のユーザーと違
った色のアイコンが表示されていたが、組織変更を有効
とすることによってアイコンの色が他のユーザーを同じ
ものとなる。

【００７３】このように、本実施形態においては、ユー
ザーの組織を変更する場合に、その組織変更を有効にす
るためのチェック機能を設けている。したがって、誤っ
たユーザーの組織変更を行う可能性が少ない。また、組
織変更を行ったユーザーをについては他のユーザーと違
う色のアイコンを表示する。したがって、どのユーザー
について組織変更を行ったのかを容易に判断することが
できる。

【００７４】［その他の実施形態］前述の実施形態にお
いては、複数の観点からグループ化を行っているが、１
つの観点からのグループ化のみ（例えば、組織情報の
み）を採用してもよい。

【００７５】前述の実施形態においては、アクセス権管
理データとして、ユーザー情報、組織情報、役職情報お
よびグループ情報を示したが、ユーザーを階層的にグル
ープ化できるものであればこれに限定されない。

【００７６】また、前述の実施形態においては、アクセ
ス権管理データとして、ユーザーを階層的にグループ化
したものを例示したが、階層的でないグループ化を採用
するようにしてもよい。例えば、システム管理者をグル
ープ化したものをアクセス権管理データとしてもよい。
この場合、各システム管理者間には上下の関係はなく、
平等の地位を有している。

【００７７】前述の実施形態においては、各情報に関す
るアクセス権の中で最上位のアクセス権をユーザーのア
クセス権に決定するとしているが、これに限定されな
い。例えば、最下位のアクセス権に決定したり、特定の
アクセス権についてはユーザー情報に設定されていなけ
れば、アクセス権として決定しないようにしてもよい。
また、アクセス権の内容に上位下位を設けずに、各情報
によって得られたアクセス権を併せたものを、そのユー
ザーのアクセス権としてもよい。

【００７８】さらに、前述の実施形態においてはアクセ
ス権の表示をディスプレイ３７上に行うとしたが、プリ
ンタ等の出力機器に出力するようにしてもよい。

【００７９】さらに、前述の実施形態においては、組
織、役職およびユーザーのツリー構造を同時にツリー構
造表示領域Ｔ１に表示するようにしたが、任意の組み合
わせ、もしくはいずれか一つのツリー構造のみを表示す
るようにしてもよい。また、アクセス権表示領域Α１に
おいては、ツリー構造表示領域Ｔ１で選択された項目に
関する全てオブジェクトに対するアクセス権を表示する
ようにしているが、特定のオブジェクトを選し、そのオ
ブジェクトに対するアクセス権のみを表示するようにし
てもよい。

【００８０】さらに、前述の実施形態においては、ツリ
ー構造をツリー構造表示領域Ｔ１に表示し、アクセス権
をアクセス権表示領域Α１に表示するようにしている。
つまり、ツリー構造とアクセス権とを別々の領域に表示
するようにしているが、両者を一つの領域上に表示する
ようにしてもよい。

【００８１】さらに、前述の実施形態においては、ディ
スプレイ３７の画面上にツリー構造表示領域Ｔ１および
アクセス権表示領域Α１の２領域を表示するようにして
いるが、ツリー構造およびアクセス権を同一画面上に表
示できるものであれば、これに限定されない。例えば、
ツリー構造およびアクセス権を３領域以上の領域に表示
するようにしてもよい。

【００８２】さらに、実施形態においては、ツリー構造
表示領域Ｔ１とアクセス権表示領域Α１とは、互いに重
なることがないように表示しているが、両者を重ねて表
示するようにしてもよい。この場合、マウス等の入力手
段によってある領域が選択されれば、その領域を一番手
前に表示し、その領域の全てを表示するようにする。ま
た、ツリー構造およびアクセス権を３領域以上に表示す
る場合であっても、各領域を重ねて表示するようにして
もよい。

【００８３】さらに、前述の実施形態においては、アク
セス管理プログラムをハードディスクに記録したアクセ
ス管理パソコン２３を示したが、当該アクセス管理プロ
グラムをＣＤ−ＲＯＭやフロッピーディスク等の記録媒
体に記録してもよい。この場合、各記録媒体に記録され
ている情報管理プログラムをパソコン等のコンピュータ
にインストールすることによって、アクセス管理装置と
して利用できることになる。

【００８４】前述の実施形態では、異なるサーバーに対
するアクセス権を対象としたが、同一サーバー内の異な
る２以上のソフトウェアに対するアクセス権を対象とし
てもよい。

【図面の簡単な説明】

【図１】本発明にかかるアクセス管理システム１の実施
形態における機能ブロック図である。

【図２】アクセス管理システム１のハードウェア構成を
示す図である。

【図３】アクセス管理コンピュータのハードウェア構成
を示す図である。

【図４】アクセス権管理データの構成を示した図であ
る。

【図５】組織構成を例示した図である。

【図６】組織情報の記述例であり、Αは変更前の状態、
ＢはＸ課が上位組織であるΑ部と同じアクセス権を有す
る場合、ＣはＸ課がΑ部とは異なるアクセス権を有する
場合を示す。

【図７】ユーザー構成を示した図である。

【図８】ユーザーとアクセス権の関係を示した図であ
る。

【図９】ユーザー情報の記述例を示した図であり、Αは
ユーザーに対してサーバーに関する特別なアクセス権が
何も与えられていない場合、Ｂは、特別なアクセス権が
与えられている場合を示している。

【図１０】アクセス権を決定する最のフローチャートの
一例を示した図である。

【図１１】アクセス権を決定する最のフローチャートの
一例を示した図である。

【図１２】アクセス権を決定する最のフローチャートの
一例を示した図である。

【図１３】アクセス権を表示する際のディスプレイ３７
の画面の一例を示した図である。

【図１４】組織変更ダイアログＨ１を表示したときの画
面の一例を示した図である。

【図１５】組織のアクセス権を変更した後の画面を例示
した図である。

【図１６】役職変更ダイアログＨ３を表示したときの画
面の一例を示した図である。

【図１７】役職のアクセス権を変更した後の画面を例示
した図である。

【図１８】ユーザー変更ダイアログＨ５を表示したとき
の画面の一例を示した図である。

【図１９】ユーザーのアクセス権を変更した後の画面を
例示した図である。

【図２０】ユーザーの組織を変更する前の画面表示を例
示した図である。

【図２１】ユーザーの組織を変更した後の画面表示を例
示した図である。

【符号の説明】

１・・・・・アクセス管理システム ３・・・・・アクセス管理ソフトウェアシステム ５・・・・・ソフトウェアシステム ７・・・・・アクセス権管理データ記憶部 ９・・・・・アクセス権決定手段 １１・・・・・確認手段

───────────────────────────────────────────────────── フロントページの続き (72)発明者 安部 渉 京都府京都市山科区東野北井ノ上町５番地 の22 京セラコミュニケーションシステム 株式会社内 (72)発明者 松岡 猛志 京都府京都市山科区東野北井ノ上町５番地 の22 京セラコミュニケーションシステム 株式会社内 (72)発明者 井田 芳夫 京都府京都市山科区東野北井ノ上町５番地 の22 京セラコミュニケーションシステム 株式会社内 (72)発明者 万永 正信 京都府京都市山科区東野北井ノ上町５番地 の22 京セラコミュニケーションシステム 株式会社内 (72)発明者 大木 浩 滋賀県八日市市蛇溝町長谷野1166−６ 京 セラコミュニケーションシステム株式会社 滋賀事業所内 Ｆターム(参考） 5B017 AA07 BA06 BB06 CA16 5B085 AE06

Claims (11)

【特許請求の範囲】
1. 【請求項１】管理対象とするソフトウェアへのアクセス
   を管理するアクセス管理装置であって、 前記ソフトウェアの利用者を階層的にグループ化し、グ
   ループに与えるアクセス権を記述したアクセス権管理デ
   ータを記録したアクセス権管理データ記録部、 前記ソフトウェアに対する利用者からの利用要求を受け
   て、アクセス権管理データに基づいて、当該ソフトウェ
   アに対するアクセス権の内容を決定するアクセス権決定
   手段、 を備えたアクセス管理装置であって、 前記アクセス権管理データは、上位グループに与えられ
   たアクセス権が原則的に下位グループに引き継がれ、下
   位グループに異なるアクセス権を付与する場合にのみ、
   当該下位グループに当該異なるアクセス権を付与する記
   述がなされており、 前記アクセス権決定手段は、階層の下位からアクセス権
   の記述の有無を判断し、最も下位にあるアクセス権の記
   述に基づいてアクセス権の内容を決定すること、 を特徴とするアクセス管理装置。
2. 【請求項２】複数のソフトウェアシステムを含むシステ
   ムにおいて、 前記各ソフトウェアシステムにおいて利用者のアクセス
   権を管理することなく、アクセス管理ソフトウェアシス
   テムによって各ソフトウェアシステムにおけるアクセス
   権を集中管理するようにし、 前記アクセス管理ソフトウェアシステムは、 前記各ソフトウェアシステム毎のアクセス権を記述した
   アクセス権管理データを記録したアクセス権管理データ
   記録部、 前記ソフトウェアシステムに対する利用者からの利用要
   求を受けて、アクセス権管理データに基づいて、当該ソ
   フトウェアシステムに対するアクセス権の内容を決定す
   るアクセス権決定手段、 を備えたことを特徴とするもの。
3. 【請求項３】複数のソフトウェアシステムを一括管理す
   るアクセス管理装置であって、 前記各ソフトウェアシステム毎のアクセス権を記述した
   アクセス権管理データを記録したアクセス権管理データ
   記録部、 前記ソフトウェアシステムに対する利用者からの利用要
   求を受けて、アクセス権管理データに基づいて、当該ソ
   フトウェアシステムに対するアクセス権の内容を決定す
   るアクセス権決定手段、 を備えたアクセス管理装置。
4. 【請求項４】請求項２のシステムまたは請求項３の装置
   において、 前記アクセス権管理データ記録部は、前記ソフトウェア
   システムの利用者を階層的にグループ化し、グループに
   与える各ソフトウェアシステム毎のアクセス権を記述し
   たアクセス権管理データを記録するとともに、当該アク
   セス権管理データでは、上位グループに与えられたアク
   セス権が原則的に下位グループに引き継がれ、下位グル
   ープに異なるアクセス権を付与する場合にのみ、当該下
   位グループに当該異なるアクセス権を付与する記述がな
   されており、 前記アクセス権決定手段は、階層の下位からアクセス権
   の記述の有無を判断し、最も下位にあるアクセス権の記
   述に基づいてアクセス権の内容を決定すること、 を特徴とするもの。
5. 【請求項５】請求項２から請求項４のいずれかのシステ
   ムまたは装置において、さらに、 アクセス権管理データに基づいて、各利用者に与えられ
   るアクセス権の内容を算出し、出力する確認手段を備え
   ていることを特徴とするもの。
6. 【請求項６】請求項５のシステムまたは装置において、 前記ソフトウェアシステムの利用者を階層的にグループ
   化したグループおよび各利用者に与えられるアクセス権
   を同一の画面上に出力すること、 を特徴とするもの。
7. 【請求項７】管理対象とするソフトウェアへのアクセス
   を管理するアクセス管理プログラムを記録した記録媒体
   であって、 前記アクセス管理プログラムは、前記ソフトウェアに対
   する利用者を階層的にグループ化し、グループに与える
   アクセス権を記述したアクセス権管理データに基づい
   て、利用者からの利用要求を受けて、当該ソフトウェア
   に対するアクセス権の内容を決定する処理をコンピュー
   タに行わせるものであって、 前記アクセス権管理データは、上位グループに与えられ
   たアクセス権が原則的に下位グループに引き継がれ、下
   位グループに異なるアクセス権を付与する場合にのみ、
   当該下位グループに当該異なるアクセス権を付与する記
   述がなされており、 前記アクセス管理プログラムは、階層の下位からアクセ
   ス権の記述の有無を判断し、最も下位にあるアクセス権
   の記述に基づいてアクセス権の内容を決定することを特
   徴とするもの。
8. 【請求項８】管理対象とする複数のソフトウェアシステ
   ムへのアクセスを管理するアクセス管理プログラムを記
   録した記録媒体であって、 前記各ソフトウェアシステム毎のアクセス権を記述した
   アクセス権管理データを記録したアクセス権管理データ
   に基づいて、前記ソフトウェアシステムに対する利用者
   からの利用要求を受けて、当該ソフトウェアシステムに
   対するアクセス権の内容を決定する処理をコンピュータ
   に行わせるためのアクセス管理プログラムを記録した記
   録媒体。
9. 【請求項９】ソフトウェアに対する利用者のアクセス権
   を管理するためのアクセス権管理データを記録した記録
   媒体であって、 前記アクセス権管理データは、 前記ソフトウェアの利用者を階層的にグループ化して記
   述したグループ記述部と、グループ記述部に関連づけら
   れたアクセス権記述部を備えており、 前記アクセス権記述部には、上位グループに与えられた
   アクセス権の内容を引き継ぐ場合には、あらためて当該
   アクセス権の内容が記述されておらず、上位グループに
   与えられたアクセス権の内容を引き継がない場合には、
   当該アクセス権の内容が記述されている、 ことを特徴とするアクセス権管理データを記録した記録
   媒体。
10. 【請求項１０】管理対象とするソフトウェアへのアクセ
    スを管理するアクセス管理方法であって、 前記アクセス管理方法は、前記ソフトウェアの利用者を
    階層的にグループ化し、グループに与えるアクセス権を
    記述したアクセス権管理データに基づいて、前記ソフト
    ウェアに対する利用者からの利用要求を受けて、当該ソ
    フトウェアに対するアクセス権の内容を決定するもので
    あって、 前記アクセス権管理データは、上位グループに与えられ
    たアクセス権が原則的に下位グループに引き継がれ、下
    位グループに異なるアクセス権を付与する場合にのみ、
    当該下位グループに当該異なるアクセス権を付与する記
    述がなされており、 前記アクセス管理方法は、階層の下位からアクセス権の
    記述の有無を判断し、最も下位にあるアクセス権の記述
    に基づいてアクセス権の内容を決定すること、 を特徴とするもの。
11. 【請求項１１】管理対象とする複数のソフトウェアシス
    テムへのアクセスを管理するアクセス管理方法であっ
    て、 前記アクセス管理方法は、各ソフトウェアシステムにお
    いて利用者のアクセス権を管理することなく、前記各ソ
    フトウェアシステム毎のアクセス権を記述したアクセス
    権管理データに基づいて、前記ソフトウェアシステムに
    対する利用者からの利用要求を受けて、当該ソフトウェ
    アシステムに対するアクセス権の内容を決定することに
    よって、各ソフトウェアシステムにおけるアクセス権を
    集中管理すること、 を特徴とするアクセス管理方法。