JP2003316745A - アクセス制御システムおよびアクセス権管理方法 - Google Patents

Abstract

(57)【要約】 【課題】 多重帰属を考慮した状況において、情報漏洩
や踏み台攻撃に対するアクセス制御対象の安全性を高め
ることが可能なアクセス制御システムを提供する。 【解決手段】 複数のグループにグループ分けされた複
数のホストコンピュータと、グループ管理機構と、アク
セス制御機構とを備えるアクセス制御システムであっ
て、グループ管理機構が、各ホストコンピュータから同
一グループ内あるいは他のグループ内の他のホストコン
ピュータへのアクセスが各ホストコンピュータが属する
全グループのグループポリシで許可されている場合に、
各ホストコンピュータから前記他のホストコンピュータ
へのアクセスを許可し、それ以外の場合には不許可とす
るアクセス制御条件を各ホストコンピュータ毎に設定
し、アクセス制御機構が、グループ管理機構で設定され
たアクセス制御条件に基づき、各ホストコンピュータか
ら前記他のホストコンピュータへのアクセスを制御す
る。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、アクセス制御シス
テムおよびアクセス権管理方法に係わり、特に、グルー
プメンバが複数グループヘ所属する多重帰属の環境にお
いて有効な技術に関する。

【０００２】

【従来の技術】情報システムは、数多くのハードウェア
リソース、ソフトウェアリソース、データリソース、ネ
ットワークリソースから構成されている。ネットワーク
で接続されたこれらのリソースに対する不正アクセスを
防止する技術がアクセス制御技術である。アクセス制御
技術が実装された装置やソフトウェアのことを、アクセ
ス制御機構と呼び、アクセス制御機構の具体的な例とし
ては、データベース管理システム、ＷＷＷサーバ、ファ
イルシステム、パケットフィルタリングなどが挙げられ
る。リソースヘのアクセス要求を発する者をアクセス要
求者と呼び、アクセス要求者の具体的な例としては、人
間であるユーザやコンピュータであるホストが挙げられ
る。アクセス制御技術は、アクセス権限の認証とアクセ
ス制御の仕組みから構成される。アクセス権限の認証の
段階では、ユーザＩＤやパスワードなどによってアクセ
ス要求者の正当性を確認する。アクセス制御の段階で
は、アクセス要求者のアクセス要求種別が、アクセス要
求者に与えられたアクセス権の許容範囲かどうかを確認
し、許容範囲内ならリソースへのアクセスを許可する。
各種リソースに対するユーザ毎のアクセス権を決定し、
アクセス制御機構への設定を行う者をアクセス管理者と
呼ぶ。アクセス制御を実現するために、リソースへのア
クセスが必要な業務の遂行の効率性と、情報セキュリテ
ィの確保を両立させるように、アクセス管理者は、適切
にアクセス制御機構を設定しなければならない。

【０００３】多くのリソースから構成される分散システ
ムにおいて、個々のリソース毎に、すべてのアクセス要
求者のアクセス権を設定するには、アクセス管理者にも
大きな作業負担をもたらすことになる。また、アクセス
権をチェックするアクセス制御機構側にも大きな負荷が
かかり、システム全体の効率性に影響を与える。アクセ
ス制御を行うことによって、システムやアクセス管理者
にかかる負荷のことをアクセス制御コストと呼ぶ。アク
セス制御コストを低く抑える一つの方法として、すべて
のリソースに対してアクセス要求者毎にアクセス権を設
定するのではなく、複数のリソースや、複数のアクセス
要求者に対して別名を付けて集約し、制御する数を減ら
す方法がある。集約する例としては、ユーザの業務種別
や職務権限による分類や、ホストに割り振られたＩＰ
（Internet Protocol）アドレスのネットワーク単位に
よる分類などである。業務種別で分類するより具体的な
ものとして、例えば、経理部では会計処理に必要なプロ
グラムやファイルをサーバ単位やディレクトリ単位に集
約し、他の部署からのアクセスを禁止することが挙げら
れる。職務権限で分類するより具体的なものとして、例
えば、部長、課長、社員、アルバイトといった職務権限
別にアクセス制御を行うことが挙げられる。

【０００４】

【発明が解決しようとする課題】多くのリソースから構
成される分散システムにおいて、一つのアクセス要求者
に対して、同時にアクセスを許可できないリソースが存
在する。その一例として、企業内で人事情報データベー
スヘのアクセスが許可されているユーザは、企業外部へ
の情報漏洩を防止するために、インターネットなどの外
部ネットワークへのアクセスを許可しない、とういうも
のが挙げられる。別の例としては、協力企業とＶＰＮ
（Virtual Private Network；仮想専用網）経由でアク
セスが許可されているホストに対しては、踏み台攻撃に
利用されることを防止するために、部署外のホストから
のアクセスを許可しない、というものが挙げられる。前
述した通り、複数のアクセス要求者に対して別名を付け
て集約することは、アクセス制御コストを低く抑える方
法の一つである。一方、企業内の組織を越えたワークグ
ループなどでは、一つのアクセス要求者が複数の業務種
別や職務権限に属することになる。これは、一つのアク
セス要求者が、同時に複数の別名に含まれることを意味
し、この状態を多重帰属と呼ぶ。多重帰属を考慮した状
況では、各々の別名を管理するアクセス管理者は、個々
のアクセス要求者が属している複数の別名が、同時に属
することが許可されるかも考慮しなければならない。

【０００５】従来の、別名に属しているアクセス要求者
リストを管理し、別名に対するアクセス権を管理する技
術では、自身の管理するアクセス制御対象へのアクセス
権しか管理できない。アクセス制御対象のアクセス管理
者が異なる場合、そのアクセス制御対象へのアクセス要
求者の行動を把握することができないため、情報漏洩や
踏み台攻撃の危険性を避けることができない。本発明
は、前記従来技術の問題点を解決するためになされたも
のであり、本発明の目的は、多重帰属を考慮した状況に
おいて、情報漏洩や踏み台攻撃に対するアクセス制御対
象の安全性を高めることが可能なアクセス制御システム
およびアクセス権管理方法を提供することにある。本発
明の前記ならびにその他の目的と新規な特徴は、本明細
書の記述及び添付図面によって明らかにする。

【０００６】

【課題を解決するための手段】本願において開示される
発明のうち、代表的なものの概要を簡単に説明すれば、
下記の通りである。即ち、本発明は、複数のグループに
グループ分けされた複数のホストコンピュータと、アク
セス制御機構とを備えるアクセス制御システムにおける
アクセス権管理方法であって、前記アクセス制御機構
が、前記各ホストコンピュータから、同一グループ内あ
るいは他のグループ内の他のホストコンピュータへのア
クセスが、前記各ホストコンピュータが属する全グルー
プのグループポリシで許可されている場合に、前記各ホ
ストコンピュータから前記他のホストコンピュータへの
アクセスを許可し、それ以外の場合には不許可とする。
即ち、本発明では、グループ管理機構を備え、前記グル
ープ管理機構が、前記各ホストコンピュータから前記他
のホストコンピュータへのアクセスが、前記各ホストコ
ンピュータが属する全グループのグループポリシで許可
されている場合に、前記各ホストコンピュータから前記
他のホストコンピュータへのアクセスを許可し、それ以
外の場合には不許可とするアクセス制御条件を、前記各
ホストコンピュータ毎に設定し、アクセス制御機構は、
前記グループ管理機構で設定されたアクセス制御条件に
基づき、前記各ホストコンピュータから前記他のホスト
コンピュータへのアクセスを制御する。

【０００７】本発明の好ましい実施の形態では、前記グ
ループ管理機構が、前記各グループに所属するホストコ
ンピュータと、前記各グループのグループポリシとを管
理するとともに、前記各グループ毎のホストコンピュー
タと、前記各グループのグループポリシとに基づき、前
記各ホストコンピュータ毎のアクセス制御条件を生成す
る。本発明の好ましい実施の形態では、前記アクセス制
御機構が、パケットフィルタリング装置である。本発明
の好ましい実施の形態では、前記ホストコンピュータの
少なくとも１つが、複数のグループに属している。

【０００８】本発明は、「アクセス制御機構」と、「ア
クセス制御対象」と、「アクセス要求者」と、「アクセ
ス管理者」と、「グループ管理機構」とから構成され
る。「アクセス制御機構」は、前記の通り、アクセス制
御技術が実装された装置やソフトウェアである。「アク
セス制御対象」は、データやサービス、ホストコンピュ
ータなどの各種リソースである。「アクセス要求者」
は、前記の通り、ユーザやホストコンピュータである。
「アクセス管理者」は、「アクセス制御対象」に対する
「アクセス要求者」のアクセス権を決定し、「アクセス
制御機構」の設定を行う者である。「グループ管理機
構」は、「グループメンバ管理機構」、「グループポリ
シ管理機構」、「グループポリシ変換機構」、「アクセ
ス制御設定機構」で構成される。グループとは、ひとま
とまりのアクセス制御のポリシ、アクセス制御の対象と
なる「アクセス制御対象」、および、アクセス制御のポ
リシが適用される「アクセス要求者」の集合を意味す
る。グループの「アクセス制御のポリシ」を、以降「グ
ループポリシ」と呼ぶ。

【０００９】「グループポリシ」によって、アクセス制
御の制約を受ける「アクセス要求者」を「グループメン
バ」と呼ぶ。グループ管理機構の「グループメンバ管理
機構」は、グループメンバ情報を管理する機能、およ
び、アクセス管理者からの編集要求を受付け、処理する
機能を有する。グループメンバ情報は、各グループに所
属するグループメンバのリストからなる。ここで、「グ
ループに所属する」とは、所属するグループメンバが、
グループ内外のアクセス制御対象に対するアクセスに関
して、グループポリシの制約を受けることを意味する。
グループ管理機構の「グループポリシ管理機構」は、グ
ループポリシ情報を管理する機能、および、アクセス管
理者からの編集要求を受付け、処理する機能を有する。
グループポリシ情報は、リソースアクセス権、および、
メンバアクセス権からなる。リソースアクセス権とは、
グループ内のアクセス制御対象への、グループ内外から
のアクセス権を意味し、メンバアクセス権とは、グルー
プメンバからの、グループ内外のアクセス制御対象への
アクセス権を意味する。

【００１０】グループ管理機構の「グループポリシ変換
機構」は、アクセス制御機構に関する情報を管理する機
能、および、グループメンバ管理機構とグループポリシ
管理機構に登録された情報からアクセス制御機構の設定
内容を生成する機能を有する。アクセス制御機構に関す
る情報とは、各アクセス制御機構でアクセス制御処理が
可能な、アクセス要求者とアクセス制御対象の情報、ア
クセス制御処理に必要な設定情報の書式に関する情報、
および、アクセス制御処理に必要な設定情報の設定方法
に関する情報である。あるアクセス要求者の、あるアク
セス制御対象へのアクセス要求を許可するかは、以下の
ように判断する。アクセス要求者の所属する全グループ
のグループポリシを調べ、アクセス要求の内容が全グル
ープポリシで許可されている場合のみ、実際のアクセス
が許可される。一つでもアクセス要求の内容が許可され
ていないグループが存在する場合は、実際のアクセスは
許可されない。グループ管理機構の「アクセス制御設定
機構」は、グループポリシ変換機構によって生成された
アクセス制御機構の設定内容を、アクセス制御機構に設
定する機能を有する。

【００１１】アクセス管理者は、グループ管理機構毎、
または、グループ毎に存在する。アクセス管理者は、グ
ループ管理機構に対して、グループメンバ情報の編集要
求、グループポリシ情報の編集要求、アクセス制御機構
設定要求を送出する。アクセス要求者は、ホストやネッ
トワークを介し、アクセス制御機構に対して、アクセス
制御対象へのアクセス要求を発する。アクセス要求者
は、自身のアクセス要求が、アクセス制御機構によって
許可されれば、アクセス制御対象を利用することがで
き、許可されなければ、アクセス制御対象を利用するこ
とができない。アクセス管理者は、メンバアクセス権、
特にグループメンバからグループ外部のアクセス制御対
象へのアクセス権を設定することにより、グループメン
バの行動に制約を加えることができる。これによりアク
セス管理者は、グループメンバが複数グループヘ所属す
る多重帰属の環境に対応したアクセス権の設定が可能に
なる。このように、本発明では、多重帰属を考慮した状
況において、グループメンバの行動にアクセス制御ポリ
シによる制約を加え、情報漏洩や踏み台攻撃に対するア
クセス制御対象の安全性を高めることが可能となる。

【００１２】

【発明の実施の形態】以下、図面を参照して本発明の実
施の形態を詳細に説明する。なお、実施の形態を説明す
るための全図において、同一機能を有するものは同一符
号を付け、その繰り返しの説明は省略する。図１は、本
発明の実施の形態のアクセス制御システムの概略構成を
示すブロック図である。図１において、１１０，１２
０，２１０，２２０，３１０，３２０は、ＩＰネットワ
ーク通信機能を備えたホストコンピュータ（以下、単
に、ホストという）である。各ホストは、他のホストヘ
アクセスを要求するアクセス要求者の機能と、他のホス
トからのアクセスを受付けるアクセス制御対象の機能を
備える。４００は、ＩＰパケットのフィルタリングによ
るアクセス制御機構を有するパケットフィルタリング装
置である。前述の各ホストは、パケットフィルタリング
装置４００と接続され、パケットフィルタリング装置４
００を介して相互に通信が可能である。５００は、グル
ープ管理機構を実装したグループ管理装置である。グル
ープ管理装置５００は、グループメンバ管理機構５１
０、グループポリシ管理機構５２０、グループポリシ変
換機構５３０、パケットフィルタリング装置４００に対
する設定機能を有するアクセス制御設定機構５４０を備
える。経理部グループ１００、インターネットグループ
２００、開発部グループ３００は、グループ管理装置５
００内で定義されているグループである。

【００１３】図２は、図１に示すグループ管理装置５０
０の処理手順を示すフローチャートである。グループ管
理装置５００は、アクセス管理者からの要求を受け付け
（ステップ１１）、当該要求の種別を判定し（ステップ
１２）、グループメンバ情報の更新処理（ステップ１
３）、グループポリシ情報の更新処理（ステップ１
４）、グループポリシ変換処理（ステップ１５）、アク
セス制御機構設定処理（ステップ１６）、および、終了
処理の各処理を実行する。本実施の形態において、各グ
ループのアクセス管理者は、前記各種類の要求を、グル
ープに所属している任意のホストからグループ管理装置
５００へ送出できるものとする。図３は、図２に示すグ
ループメンバ情報の更新処理の処理手順を示すフローチ
ャートである。グループメンバ情報管理機構５１０は、
アクセス管理者からの要求を受け付け（ステップ２
１）、当該要求の種別を判定し（ステップ２２）、グル
ープメンバ情報の追加処理（ステップ２３）、グループ
メンバ情報の変更処理（ステップ２４）、および、グル
ープメンバ情報の削除処理（ステップ２５）の各処理を
実行する。

【００１４】図４は、図２に示すグループポリシ情報の
更新処理の処理手順を示すフローチャートである。グル
ープポリシ情報管理機構５２０は、アクセス管理者から
の要求を受け付け（ステップ３１）、当該要求の種別を
判定し（ステップ３２）、グループポリシ情報の追加処
理（ステップ３３）、グループポリシ情報の変更処理
（ステップ３４）、および、グループポリシ情報の削除
処理（ステップ３５）の各処理を実行する。本実施の形
態において、グループポリシ変換機構５３０には、パケ
ットフィルタリング装置４００の設定情報の書式に関す
る情報、パケットフィルタリング装置４００の設定情報
の設定方法に関する情報、および、ホスト（１１０，１
２０，２１０，２２０，３１０，３２０）が、パケット
フィルタリング装置４００でアクセス制御が可能なアク
セス要求者であり、かつ、アクセス制御対象であること
が登録されているものとする。

【００１５】本実施の形態において、グループメンバ管
理機構５１０と、グループポリシ管理機構５２０で管理
される情報を図５に示す。図５に示すグループポリシの
記述において、「○」は通信の許可を、「×」は通信の
不許可を表している。「Ａ→Ｂ」は、アクセス要求者で
あるホストＡから、アクセス制御対象であるホストＢへ
の通信を表している。Ａがグループメンバであるグルー
プポリシはメンバアクセス権を、Ａがグループメンバで
ないグループポリシはリソースアクセス権を表してい
る。「Ａ←→Ｂ」は、「Ａ→Ｂ」と「Ｂ→Ａ」の二つを
省略した表記である。「（α）」は、グループαに所属
する全てのメンバを表している。「Ａｌｌ」は、グルー
プ内外の全てのホストを表している。

【００１６】図６は、図２に示すグループポリシ変換処
理の処理手順を示すフローチャートである。グループポ
リシ変換機構５３０は、パケットフィルタリング装置４
００でアクセス制御が可能なアクセス要求者（ホスト）
と、アクセス制御対象（ホスト）の全ての組合せについ
て通信の可否を調べる（ステップ５１〜ステップ６
４）。「Ｘ（アクセス要求者）→Ｙ（アクセス制御対
象）」の通信の可否は、以下のように判断する。初め
に、各組合せ毎に通信許可フラグをＯＮにセットし（ス
テップ５２）、アクセス要求者Ｘの所属する全グループ
を検索して所属グループリストを作成する（ステップ５
３）。次に、検索した各グループ（ステップ５４〜ステ
ップ６０）のグループポリシを上から順に検索し（ステ
ップ５５〜ステップ５８）、「Ｘ→Ｙ」の組合せが最初
に含まれるグループポリシが、通信許可か、通信不許可
かを調べる（ステップ５６、ステップ５７）。

【００１７】アクセス要求者Ｘの所属する全グループの
グループポリシにおいて、「Ｘ→Ｙ」が通信許可であっ
た場合のみ通信を許可し、一つでもアクセス要求の内容
が許可されていないグループが存在した場合は、通信許
可フラグをＯＦＦにセットする（ステップ５９）。ま
た、グループ内の全てのグループポリシに、「Ｘ→Ｙ」
の組合せが含まれなかった場合にも、通信許可フラグを
ＯＦＦにセットする（ステップ５９）。次に、通信許可
フラグがＯＮの場合には、アクセス制御機構の設定内容
を通信許可の内容で作成し（ステップ６１、ステップ６
２）、また、通信許可フラグがＯＦＦの場合には、アク
セス制御機構の設定内容を通信不許可の内容で作成する
（ステップ６１、ステップ６３）アクセス制御設定機構
５４０は、前記作成したアクセス制御機構の設定内容
を、パケットフィルタリング装置４００に設定する。

【００１８】以下、図５を用いて、前述の通信許可と通
信不許可の判断について具体的に説明する。 ○状態１ 図５に示す状態１は、本実施の形態の初期状態を示すも
のであり、本実施の形態の初期状態において、経理部グ
ループ１００のグループメンバは、ホスト１１０とホス
ト１２０である。経理部グループ１００のグループポリ
シは、「ホスト１１０とホスト１２０の通信は許可し、
経理部グループ１００のメンバとインターネットグルー
プ２００の通信は許可しない」という内容である。な
お、図５の「×（１００）←→（２００）」の記述は、
前述の通信許可と通信不許可の判断手順に従えば本来不
要であるが、ここでは説明のために明示的に記述してい
る。インターネットグループ２００のグループメンバ
は、ホスト２１０とホスト２２０である。インターネッ
トグループ２００のグループポリシは、グループ内外の
全ての通信を許可する、という内容である。開発部グル
ープ３００のグループメンバは、ホスト３１０とホスト
３２０である。開発部グループ３００のグループポリシ
は、開発部グループ３００内の通信のみ許可する、とい
う内容である。

【００１９】○状態２ 図５に示す状態２は、状態１において、ホスト３２０か
らホスト２２０への通信を許可した状態である。グルー
プポリシのエントリ［５２１］は、開発部グループ３０
０のグループポリシとして、ホスト３２０からホスト２
２０への通信は許可し、ホスト２２０からホスト３２０
への通信は許可しないことを表す。

【００２０】○状態３ 図５に示す状態３は、状態２において、ホスト３１０を
経理部グループ１００に所属させた状態である。 ・グループポリシのエントリ［５２２］は、経理部グル
ープ１００のグループポリシとして、ホスト１１０とホ
スト３１０の通信を許可することを表す。 ・グループメンバのエントリ［５１１］は、経理部グル
ープ１００のグループポリシとして、ホスト３１０から
の通信先に関してアクセス制御を行うことを表す。 ・グループポリシのエントリ［５２３］は、経理部グル
ープ１００のグループポリシにおいても、開発部グルー
プ３００に所属しているホスト同士の通信は許可するこ
とを表す。 ・グループポリシのエントリ［５２４］は、開発部グル
ープ３００のグループポリシとして、ホスト１１０とホ
スト３１０の通信を許可することを表す。 なお、ホスト１２０とホスト３１０はどちらも経理部グ
ループ１００に所属するが、相互の通信は経理部グルー
プ１００のグループポリシで許可されない。

【００２１】○状態４ 図５に示す状態４は、状態３において、ホスト３２０を
経理部グループ１００に所属させた状態である。グルー
プポリシのエントリ［５２５］は、経理部グループ１０
０のグループポリシとして、ホスト１１０とホスト３２
０の通信を許可することを表す。グループメンバのエン
トリ［５１２］は、経理部グループ１００のグループポ
リシとして、ホスト３２０からの通信先に関してアクセ
ス制御を行うことを表す。グループポリシのエントリ
［５２６］は、開発部グループ３００のグループポリシ
として、ホスト１１０とホスト３２０の通信を許可する
ことを表す。ここで、ホスト２２０とホスト３２０の通
信可否について説明する。ホスト２２０の所属するグル
ープは、インターネットグループ２００のみであり、イ
ンターネットグループ２００のグループポリシではホス
ト２２０とホスト３２０の通信は許可される。

【００２２】一方、ホスト３２０の所属するグループ
は、開発部グループ３００と経理部グループ１００であ
る。開発部グループ３００のグループポリシでは、エン
トリ［５２１］によってホスト３２０からホスト２２０
への通信は許可される。経理部グループ１００のグルー
プポリシでは、エントリ［５２７］によってホスト２２
０とホスト３２０の通信が許可されない。以上により、
各々のホストが所属するグループのグループポリシを調
べた結果、通信が許可されないポリシが存在するため、
ホスト２２０とホスト３２０の通信が許可されない。ホ
スト２２０とホスト３２０の通信が許可されないこと
は、ホスト３２０が、経理部グループ１００と開発部グ
ループ３００に多重帰属していても、「経理部グループ
１００のメンバは、インターネットグループ２００との
通信を許可しない」という、経理グループ１００のグル
ープポリシに基づくものである。

【００２３】前述した従来技術では、経理部グループ１
００のアクセス管理者は、ホスト３２０を経理部グルー
プ１００のグループメンバに加える際に、ホスト３２０
が他のどのグループに所属しているかが分かったとして
も、どのようなアクセス権限を持っているかを知った
り、アクセス権限に制約を加えることはできなかった。
仮に、開発部グループ３００のアクセス管理者に問い合
わせをしたり、アクセス制御の依頼を行えば実現は可能
であるが、この場合はアクセス制御コストが膨大にな
る。本発明によれば、アクセス管理者が、各メンバがど
のグループに所属しているかを知ること、および、各メ
ンバの複数グループのアクセス権の内容を相互にチェッ
クすることが不要になる。これにより、多重帰属を考慮
した状況において、情報漏洩や踏み台攻撃に対するアク
セス制御対象の安全性を高めることを実現するだけでな
く、アクセス管理者に発生するアクセス制御コストを低
く抑えることができるといえる。また、本発明は、ＩＰ
−ＶＰＮサービスにおけるＶＰＮ間通信サービスのよう
に、複数ネットワークの中間点で集中的アクセス制御を
行うような環境に特に適している。このようなサービス
に、本発明のグループ管理機能を導入することで、同様
のサービスと差異化を図ることが可能である。以上、本
発明者によってなされた発明を、前記実施の形態に基づ
き具体的に説明したが、本発明は、前記実施の形態に限
定されるものではなく、その要旨を逸脱しない範囲にお
いて種々変更可能であることは勿論である。

【００２４】

【発明の効果】本願において開示される発明のうち代表
的なものによって得られる効果を簡単に説明すれば、下
記の通りである。本発明によれば、アクセス管理者が、
各メンバがどのグループに所属しているかを知ること、
および、各メンバの複数グループのアクセス権の内容を
相互にチェックすることが不要になる。これにより、多
重帰属を考慮した状況において、情報漏洩や踏み台攻撃
に対するアクセス制御対象の安全性を高めることが可能
となるばかりでなく、アクセス管理者に発生するアクセ
ス制御コストを低く抑えることが可能となる。

【図面の簡単な説明】

【図１】本発明の実施の形態のアクセス制御システムの
概略構成を示すブロック図である。

【図２】図１に示すグループ管理装置の処理手順を示す
フローチャートである。

【図３】図２に示すグループメンバ情報更新処理の処理
手順を示すフローチャートである。

【図４】図２に示すグループポリシ情報の更新処理の処
理手順を示すフローチャートである。

【図５】本実施の形態において、グループメンバ管理機
構と、グループポリシ管理機構で管理される情報を説明
するための図である。

【図６】図２に示すグループポリシ変換処理の処理手順
を示すフローチャートである。

【符号の説明】

１００…経理部グループ、１１０，１２０，２１０，２
２０，３１０，３２０…ホストコンピュータ、２００…
インターネットグループ、３００…開発部グループ、４
００…パケットフィルタリング装置、５００…グループ
管理装置、５１０…グループメンバ管理機構、５２０…
グループポリシ管理機構、５３０…グループポリシ変換
機構、５４０…アクセス制御設定機構。

Claims (10)

【特許請求の範囲】
1. 【請求項１】 複数のグループにグループ分けされた複
   数のホストコンピュータと、アクセス制御機構とを備え
   るアクセス制御システムであって、 前記アクセス制御機構は、前記各ホストコンピュータか
   ら、同一グループ内あるいは他のグループ内の他のホス
   トコンピュータへのアクセスが、前記各ホストコンピュ
   ータが属する全グループのグループポリシで許可されて
   いる場合に、前記各ホストコンピュータから前記他のホ
   ストコンピュータへのアクセスを許可し、それ以外の場
   合には不許可とすることを特徴とするアクセス制御シス
   テム。
2. 【請求項２】 グループ管理機構を備え、 前記グループ管理機構は、前記各ホストコンピュータか
   ら前記他のホストコンピュータへのアクセスが、前記各
   ホストコンピュータが属する全グループのグループポリ
   シで許可されている場合に、前記各ホストコンピュータ
   から前記他のホストコンピュータへのアクセスを許可
   し、それ以外の場合には不許可とするアクセス制御条件
   を、前記各ホストコンピュータ毎に設定し、 アクセス制御機構は、前記グループ管理機構で設定され
   たアクセス制御条件に基づき、前記各ホストコンピュー
   タから前記他のホストコンピュータへのアクセスを制御
   することを特徴とする請求項１に記載のアクセス制御シ
   ステム。
3. 【請求項３】 前記グループ管理機構は、各グループに
   所属するホストコンピュータを管理するグループメンバ
   管理機能と、 前記各グループのグループポリシを管理するグループポ
   リシ管理機構と、 前記グループメンバ管理機能で管理する各グループ毎の
   ホストコンピュータと、前記グループポリシ管理機構で
   管理する各グループのグループポリシとに基づき、前記
   各ホストコンピュータ毎のアクセス制御条件を生成する
   グループポリシ変換機構と、 前記グループポリシ変換機構で生成されたアクセス制御
   条件を前記アクセス制御機構に設定するアクセス制御設
   定機構とを有することを特徴とする請求項２に記載のア
   クセス制御システム。
4. 【請求項４】 前記アクセス制御機構は、パケットフィ
   ルタリング装置であることを特徴とする請求項１ないし
   請求項３のいずれか１項に記載のアクセス制御システ
   ム。
5. 【請求項５】 前記ホストコンピュータの少なくとも１
   つは、複数のグループに属していることを特徴とする請
   求項１ないし請求項４のいずれか１項に記載のアクセス
   制御システム。
6. 【請求項６】 複数のグループにグループ分けされた複
   数のホストコンピュータと、アクセス制御機構とを備え
   るアクセス制御システムにおけるアクセス権管理方法で
   あって、 前記アクセス制御機構は、前記各ホストコンピュータか
   ら、同一グループ内あるいは他のグループ内の他のホス
   トコンピュータへのアクセスが、前記各ホストコンピュ
   ータが属する全グループのグループポリシで許可されて
   いる場合に、前記各ホストコンピュータから前記他のホ
   ストコンピュータへのアクセスを許可し、それ以外の場
   合には不許可とすることを特徴とするアクセス権管理方
   法。
7. 【請求項７】 グループ管理機構を備え、 前記グループ管理機構は、前記各ホストコンピュータか
   ら前記他のホストコンピュータへのアクセスが、前記各
   ホストコンピュータが属する全グループのグループポリ
   シで許可されている場合に、前記各ホストコンピュータ
   から前記他のホストコンピュータへのアクセスを許可
   し、それ以外の場合には不許可とするアクセス制御条件
   を、前記各ホストコンピュータ毎に設定し、 アクセス制御機構は、前記グループ管理機構で設定され
   たアクセス制御条件に基づき、前記各ホストコンピュー
   タから前記他のホストコンピュータへのアクセスを制御
   することを特徴とする請求項６に記載のアクセス権管理
   方法。
8. 【請求項８】 前記グループ管理機構は、前記各グルー
   プに所属するホストコンピュータと、前記各グループの
   グループポリシとを管理するとともに、前記各グループ
   毎のホストコンピュータと、前記各グループのグループ
   ポリシとに基づき、前記各ホストコンピュータ毎のアク
   セス制御条件を生成することを特徴とする請求項７に記
   載のアクセス権管理方法。
9. 【請求項９】 前記アクセス制御機構は、パケットフィ
   ルタリング装置であることを特徴とする請求項６ないし
   請求項８のいずれか１項に記載のアクセス権管理方法。
10. 【請求項１０】 前記ホストコンピュータの少なくとも
    １つは、複数のグループに属していることを特徴とする
    請求項６ないし請求項９のいずれか１項に記載のアクセ
    ス権管理方法。