JP2011130016A - アクセス制御システム、アクセス制御方法、及びプログラム - Google Patents

Abstract

【課題】ＰＣ等の端末のみならず、ゲーム機、複合機等のオフィス機器等の端末に対しても、迅速かつ確実にポリシーの設定を行う。
【解決手段】アクセス制御を行うアクセス制御システムにおいて、ポリシーに適合すると判定された各端末装置のアドレスリストを格納する格納手段と、端末装置から送信された通信データを受信し、当該通信データの送信元アドレスと前記アドレスリストとを用いて、当該通信データの通過可否を制御する通信データ通過制御手段とを備える。前記通信データ通過制御手段は、前記通信データの通過を拒否した場合に、送信元の端末装置におけるポリシー適合用ソフトウェア導入可否を判定し、導入可である場合に、端末装置をポリシー適合用ソフトウェア提供装置にアクセスさせ、導入不可である場合に、端末装置を、当該端末装置をポリシーに適合させるために必要なデータを提供する端末情報管理装置にアクセスさせる。
【選択図】図１

Description

本発明は、LAN（Local Area Network）等の通信ネットワークに接続される端末に対し、通信ネットワークの運用ポリシーに適合させるための設定を行う技術に関連するものである。

企業等におけるLAN環境では、LAN管理者によってLANの運用ポリシーが定められるのが一般的である。ここで、運用ポリシーとは、例えば、LANに接続される端末のOS(Operating System)のバージョン、アプリケーションの導入有無に応じた環境条件の規定、セキュリティ強度を確保するためのOSパッチ適用条件、起動してよいアプリケーション種別等を含むものである。以下、運用ポリシーを単にポリシーと記述する。

LANに接続される端末のOSやアプリケーションの設定は、ポリシーに従うことが求められる。LAN配下端末の設定をポリシーに適合させるための代表的な従来技術として、ポリシー適合用ソフトウェアによる端末制御方式と、検疫ネットワークによる不適合端末の隔離方式がある。

ポリシー適合用ソフトウェアによる端末制御方式では、LAN管理者によりLANのポリシーが事前設定されたポリシー適合用ソフトウェアが各端末のユーザに配布される。そして、各ユーザは自分の端末にポリシー適合用ソフトウェアをインストールする。ポリシー適合用ソフトウェアがインストールされた端末では、LAN管理者によって事前定義されたポリシーに合致するように端末の設定変更がなされる。

検疫ネットワークによる不適合端末の隔離方式では、LANとは隔離された検査用ネットワークが用いられる。検査用ネットワークには、検査用サーバと治療用サーバが備えられている。

初期状態にある端末がLANへの接続、すなわち、LAN内の装置もしくは外部ネットワークの装置への接続を試みたタイミングで、端末に対して検査用ネットワークのみに接続されるIPアドレス、VLAN等が割り当てられる。そして、端末は検査用ネットワークに接続し、検査用ネットワークに備えられた検査用サーバにより端末のポリシー適合性が判定され、この判定で問題があれば、利用者は治療用サーバに接続して不足するセキュリティパッチ等をダウンロードしてインストールする。

ポリシーに適合した状態になった端末が再度検査用ネットワークに接続すると、ポリシー適合性判定に合格し、LANへの接続が可能なIPアドレス及びVLAN等の割り当てが行われ、LANへの接続が許可される。

運用ポリシーの端末への設定に関する先行技術文献として特許文献１がある。特許文献１には、セキュアOSを容易に運用することができるセキュリティポリシ配信システムが開示されている。

特開２００５−２３４８６４号公報

上記のポリシー適合用ソフトウェアによる端末制御方式と検疫ネットワークによる不適合端末の隔離方式には以下の問題点がある。

ポリシー適合用ソフトウェアによる端末制御方式では、ユーザに配布されたポリシー適合用ソフトウェアをユーザ自身がインストールしなければならないため、ポリシー適合用ソフトウェアのインストールを意識的、もしくは無意識の内に行わないユーザが存在する場合がある。また、ポリシー適合用ソフトウェアを端末にインストールした後に、何らかの理由でポリシー適合用ソフトウェアを端末から削除してしまうユーザがいる場合もある。これらの場合が生じると、LANの中でポリシーに適合しない端末が生じてしまうことになる。

また、ポリシー適合用ソフトウェアによる端末制御方式において、ポリシー適合用ソフトウェアの配布は一般にCD-ROM等の記録媒体を用いて行われるため、全てのユーザにポリシー適合用ソフトウェアを配布するのに時間がかかり、全てのユーザにポリシー適合用ソフトウェアが配布され、それがインストールされるまでの間、ポリシーに適合しない端末が生じてしまうという問題がある。
検疫ネットワークによる不適合端末の隔離方式では、端末をポリシーに適合させるための端末の設定作業は各ユーザに委ねられている。そのため、ユーザによっては、設定作業の手順がわからず、長い間LANへの接続ができない端末が生じる場合がある。また、誰でも容易に設定作業を行えるように、環境条件を緩和して環境設定作業手順を簡素化することも考えられるが、そうすると複雑なポリシー項目を定めることが難しくなる。

また、検疫ネットワークによる不適合端末の隔離方式では、一旦LAN接続が許可された端末において、その後に端末の設定変更が行われるなどしてポリシーに不適合となっても、LAN接続をし続けることができるという問題もある。

更に、近年、ＰＣ等の端末以外に、ゲーム機、複合機等のオフィス機器、家電製品等もネットワークに接続されることが多くなっているが、これらの端末には、そもそもポリシー適合用ソフトウェアをインストールできない。また、これらの端末に対応した検疫ネットワークも提供されていない。

本発明は上記の点に鑑みてなされたものであり、ポリシー適合用ソフトウェアをインストールできるＰＣ等の端末のみならず、ゲーム機、複合機等のオフィス機器、家電製品、ネットワーク機器等のポリシー適合用ソフトウェアを導入することが困難な端末に対しても、迅速かつ確実にポリシーの設定を行うことを可能とする技術を提供することを目的とする。

上記の課題を解決するために、本発明は、通信ネットワークに接続された端末装置に対するアクセス制御を行うアクセス制御システムであって、前記端末装置が前記通信ネットワークのポリシーに適合しているかどうかを判定するポリシー適合判定手段と、前記ポリシー適合判定手段により前記ポリシーに適合すると判定された各端末装置のアドレスリストを格納するアドレスリスト格納手段と、各端末装置毎に、ポリシー適合用ソフトウェアを導入可能か否かを示す情報を格納する構成情報格納手段と、前記端末装置から送信された通信データを受信し、当該通信データの送信元アドレスが前記アドレスリスト格納手段の中の前記アドレスリストに含まれる場合に、当該通信データを通過させ、前記送信元アドレスが前記アドレスリストに含まれない場合に、前記通信データを通過させない通信データ通過制御手段と、を備え、前記通信データ通過制御手段は、前記送信元アドレスが前記アドレスリストに含まれない場合に、前記構成情報格納手段を参照し、前記通信データの送信元の端末装置におけるポリシー適合用ソフトウェア導入可否を判定し、導入可である場合に、前記端末装置をポリシー適合用ソフトウェア提供装置にアクセスさせ、導入不可である場合に、前記端末装置を、当該端末装置をポリシーに適合させるために必要なデータを提供する端末情報管理装置にアクセスさせることを特徴とするアクセス制御システムとして構成される。

また、本発明は、通信ネットワークに接続された端末装置に対するアクセス制御を行うアクセス制御システムであって、前記端末装置のアドレスに対応付けて当該端末装置のソフトウェア構成情報とポリシー適合用ソフトウェアを導入可能か否かを示す情報とを格納する構成情報格納手段と、前記端末装置が前記通信ネットワークのポリシーに適合するためにとるべきソフトウェア構成を表すソフトウェア構成条件情報を格納する構成条件情報格納手段と、前記ソフトウェア構成情報と前記ソフトウェア構成条件情報とを比較することにより、前記端末装置が前記通信ネットワークのポリシーに適合しているかどうかを判定するポリシー適合判定手段と、前記ポリシー適合判定手段により前記ポリシーに適合すると判定された各端末装置のアドレスリストを格納するアドレスリスト格納手段と、前記端末装置から送信された通信データを受信し、当該通信データの送信元アドレスが前記アドレスリスト格納手段の中の前記アドレスリストに含まれる場合に、当該通信データを通過させ、前記送信元アドレスが前記アドレスリストに含まれない場合に、前記通信データを通過させない通信データ通過制御手段と、を備え、前記通信データ通過制御手段は、前記送信元アドレスが前記アドレスリストに含まれない場合に、前記構成情報格納手段を参照し、前記通信データの送信元の端末装置におけるポリシー適合用ソフトウェア導入可否を判定し、導入可である場合に、前記端末装置をポリシー適合用ソフトウェア提供装置にアクセスさせ、導入不可である場合に、前記端末装置を、当該端末装置をポリシーに適合させるために必要なデータを提供する端末情報管理装置にアクセスさせることを特徴とするアクセス制御システムとして構成することもできる。

本発明によれば、ポリシー適合用ソフトウェアをインストールできるＰＣ等の端末のみならず、ゲーム機、複合機等のオフィス機器、家電製品、ネットワーク機器等のポリシー適合用ソフトウェアを導入することが困難な端末に対しても、迅速かつ確実にポリシーの設定を行うことが可能となる。

本発明の実施の形態におけるシステムの全体構成図である。 アクセス制御システム１０の機能構成図である。 端末構成情報テーブルが保持する情報の例を示す図である。 マスターポリシーテーブルが保持する情報の例を示す図である。 ポリシー適合端末リストの例を示す図である。 端末機種情報提供サーバ５の機能構成図である。 定義情報格納部５２に格納される定義情報の例を示す図である。 定義情報格納部５２に格納される定義情報の例を示す図である。 端末情報管理サーバ６の機能構成図である。 端末情報収集処理を説明するための図である。 端末構成情報テーブルの例を示す図である。 マスターポリシーテーブルの設定時の処理を説明するための図である。 本発明の実施の形態に係るシステムの動作を説明するための図である。 本発明の実施の形態に係るシステムの動作を説明するための図である。 本発明の実施の形態に係るシステムの動作を説明するための図である。 端末構成情報テーブルの例を示す図である。

以下、図面を参照して本発明の実施の形態を説明する。

（システム構成）
図１に、本発明の実施の形態におけるシステムの全体構成を示す。図１に示すように、本実施の形態におけるシステムには、LAN２０（社内LAN等）と外部ネットワーク３０との間にゲートウェイとしてのアクセス制御システム１０が備えられる。LAN２０には、LAN配下の端末１が接続されるとともに、例えば社内の各種サービスを提供する内部サービスサーバ２が接続される。

また、外部ネットワーク３０には、外部サービスサーバ４、ポリシー適合用ソフトウェアダウンロード（DL）サーバ３、端末機種情報提供サーバ５、及び端末情報管理サーバ６が接続されている。

本実施の形態における端末１は、ブラウザ等によりWebアクセス可能な一般的なPC端末でもよいし、ゲーム機、複合機等のオフィス機器、家電製品、ネットワーク機器等のユーザによるカスタマイズを行うことが困難な仕様の機器でもよい。

ポリシー適合用ソフトウェアDLサーバ３は、端末１からのアクセスを受けて、ポリシー適合用ソフトウェアを端末１にダウンロードする機能を有するサーバである。

端末機種情報提供サーバ５は、アクセス制御システム１０が収集した端末１からの情報をアクセス制御システム１０から受信し、その情報に基づき当該端末１の機種等を判定し、判定結果をアクセス制御システム１０に返す機能を有するサーバである。

端末情報管理サーバ６は、特定の機種の端末１に関して、端末１のソフトウェア構成情報を格納するとともに、端末１のパッチファイルやファームデータを格納し、端末１の種別や環境に応じてソフトウェア構成情報やソフトウェアデータを提供する機能を有するサーバである。端末情報管理サーバ６を端末の機種毎に備えることとしてもよいし、端末情報管理サーバ６において複数機種の端末に関する情報をまとめて保持することとしてもよい。

図２に、アクセス制御システム１０の機能構成図を示す。図２に示すように、アクセス制御システム１０は、端末構成管理部１１、ポリシー適合判定部１２、端末構成情報格納部１３、パケット通過制御部１４、ポリシー適合端末リスト格納部１５、及び端末情報収集部１６を備える。

端末構成情報格納部１３は、端末構成情報テーブル、及びマスターポリシーテーブルを有する。なお、端末構成情報テーブル、及びマスターポリシーテーブルとを別々の格納部に格納することとしてもよい。ポリシー適合端末リスト格納部１５は、ポリシー適合端末リストを格納する。

図３に、端末構成情報テーブルが保持する情報の例を示す。図３に示すとおり、本実施の形態では、端末構成情報テーブルは、グループＩＤ、端末のMACアドレス、機器種別（単に"機種"と呼ぶこともある）、OSの自動アップデートの設定がなされているか否かを示すOS更新設定、端末にインストールされているOSの種別を示すOS種別、当該OSのバージョンを示すOSバーション、端末にインストールされているアプリケーションの種別を示すアプリ種別、各アプリケーションのバージョンを示すアプリバージョン、端末にポリシー適合用ソフトウェアを導入できるか否かを示すポリシー適合用ソフトウェア導入可否、エントリが更新された日時を示すエントリ更新日時、該当端末から送出されたパケットが、パケット通過制御部１４を通過してよいかどうかを示す通過許可の情報を含む。なお、端末構成情報テーブルには更にこれら以外の情報を含んでもよい。また、ここでの"機器種別"は、メーカ識別情報と機種識別情報とを含むものであり、その"機器種別"により、どのメーカのどの製品かがわかる。

上記のグループIDは、例えば組織毎、機器種別毎に割り当てられるIDである。例えば、同じ機器種別の端末群に同一グループIDを割り当てる。

図４に、マスターポリシーテーブルが保持する情報の一例を示す。マスターポリシーテーブルには、LAN管理者により定義された端末のあるべきソフトウェア環境及び設定の内容が保持されている。本実施の形態では、図４に示すように、グループID、MACアドレスの情報、機器種別、OS更新設定、OS種別、ＯＳバージョン、アプリ種別、アプリバージョン、及びポリシ適合ソフトウェア導入可否の情報が格納されている。

例えば、図４のマスターポリシーテーブルにおいて、グループＩＤが００１の端末に関して、ＯＳ種別がＯＳ−１でなければならず、ＯＳバージョンが６．０（又は６．０以上）でなければならないことが示されている。

端末構成管理部１１は、端末構成情報テーブルを更新する機能、ポリシー適合判定部１２に対してポリシー適合判定要求を送信する機能等を有する。

端末情報収集部１６は、リクエストパケットを送信する機能、レスポンスパケットを受信する機能、レスポンスパケットを端末機種情報提供サーバ５に送信することにより端末の機種等を問い合わせ、問い合わせの結果を受信する機能等を有する。

ポリシー適合判定部１２は、端末構成管理部１１からの要求に基づき、ポリシー適合判定対象の端末について、端末構成情報格納部１３に格納されている当該端末の端末構成情報と、マスターポリシーテーブルにおける条件との比較を行うことにより、当該端末がポリシーに適合しているかどうかを判定する機能、及び、ポリシー適合判定結果を端末のMACアドレスとともにパケット通過制御部１４に通知する機能等を有する。

パケット通過制御部１４は、ポリシー適合端末リスト格納部１５に格納されたポリシー適合端末リストを参照することにより、端末から送信されたパケットの通過／遮断を判定し、通過させてよいと判定した場合は、パケットをその宛先に従って転送し、遮断すべきであると判定した場合は、パケットを通過させず、当該パケットの発信元である端末をポリシー適合用ソフトウェアDLサーバ３や端末情報管理サーバ６にアクセスさせるための処理を行う機能を有する。また、パケット通過制御部１４は、ポリシー適合判定部１２から受信するポリシー適合判定結果とMACアドレスに基づき、ポリシー適合端末リストを更新する機能を有する。

図５に、ポリシー適合端末リストの例を示す。図５に示すように、ポリシー適合端末リストは、ポリシーに適合すると判定された端末のMACアドレスからなる。パケット通過制御部１４は、ポリシー適合判定部１２からポリシーに適合する旨の判定結果とMACアドレスを受信した場合に、当該MACアドレスをポリシー適合端末リストの情報としてポリシー適合端末リスト格納部１５に格納する。また、パケット通過制御部１４は、ポリシー適合判定部１２からポリシーに適合しない旨の判定結果とMACアドレスを受信した場合に、当該MACアドレスがポリシー適合端末リストに含まれていれば、そのMACアドレスをポリシー適合端末リストから削除する。

ポリシー適合端末リストを備えることにより、パケット通過制御部１４は、高速にパケット通過／遮断の判定を行うことが可能である。

アクセス制御システム１０は、１つの装置（サーバ、ルータ等のコンピュータの構成を有する装置にプログラムを搭載したもの）で実現してもよいし、複数の装置を通信ネットワークで接続して実現してもよい。アクセス制御システム１０における各機能部は、コンピュータにプログラムを実行させることにより実現可能である。また、当該プログラムは、メモリ等の記録媒体に記録して配布することが可能である。

図６に、端末機種情報提供サーバ５の機能構成図を示す。図６に示すように、端末機種情報提供サーバ５は、端末情報収集部１６からの端末機種情報要求を受信する要求受信部５１、定義情報を格納する定義情報格納部５２、定義情報に基づき機種判定を行う端末機種判定部５３、決定された端末の機種情報等を端末情報収集部１６に返す応答送信部５４を有する。

図７に、定義情報格納部５２に格納される定義情報の例を示す。図７の例では、機種Ａの定義情報のみが示されているが、複数の機種のそれぞれ（例えば、機種Ｂ、機種Ｃ）について、同様の定義項目を含む定義情報が格納されている。もちろん、定義値は、該当機種に対応する値である。各定義情報は、定義項目毎に、定義値と、ポイントとを含む。この定義情報を用いた端末機種の判定処理については後述する。また、定義情報格納部５２は更に、図８に示すように、機種毎のポリシー適合用ソフトウェア導入可否情報を保持している。ポリシー適合用ソフトウェア導入可否情報は、ＯＫかＮＧの情報であり、ＮＧの場合は、該当機種に対応する端末情報管理サーバ６のアクセス先のＵＲＬを含む。

図９に、端末情報管理サーバ６の機能構成図を示す。図９に示すように、端末情報管理サーバ６は、機器情報取得部６１と、ソフトウェア構成情報提供部６２と、画面データ作成提供部６３と、端末ソフトウェア更新処理部６４と、端末ソフトウェア更新用データ格納部６５を備えている。

機器情報取得部６１は、端末に対して機器情報送信要求を送信し、端末から機器情報を含む応答を受信する機能を有する。ソフトウェア構成情報提供部６２は、機器情報取得部６１が取得した端末からの応答に基づき、当該端末のソフトウェア構成情報を取得し、それをアクセス制御システム１０における端末構成管理部１１に送信する機能を有する。画面データ作成提供部６３は、ポリシー適合判定部１２からポリシー適合誘導要求を受けて、端末に対してポリシー適合操作要求画面データを送信する機能を有する。

端末ソフトウェア更新処理部６４は、ポリシー適合操作要求画面が表示された端末からの指示に基づき、ポリシー適合用データ（ＯＳバージョンアップのためのデータ等）を端末ソフトウェア更新用データ格納部６５から取得し、それを端末に送信する機能を有する。端末ソフトウェア更新用データ格納部６５は、端末の機種毎に、ポリシー適合用データ（ＯＳやアプリケーションのバージョンアップのためのデータ等）を格納している。

端末機種情報提供サーバ５と端末情報管理サーバ６はそれぞれ、ＣＰＵ、メモリ、通信装置等を備えたコンピュータに、各機能を実行するためのプログラムを備えることにより実現可能である。

（システムの動作）
次に、本発明の実施の形態に係るシステムの動作について説明する。

＜端末情報収集処理＞
本実施の形態では、端末情報収集部１６が定期的（例えば、数十秒毎、数分毎、もしくは数時間毎）に端末探索を行い、端末からの応答を受け、その応答に基づき端末機種情報提供サーバ５を利用して機種情報を取得し、それを端末構成情報テーブルに記録する処理を行っている。最初に、この端末情報収集処理について図１０のシーケンスチャートを参照して説明する。

まず、端末情報収集部１６が、端末１に対してリクエストパケットを送信する（ステップ１）。リクエストパケットは、例えば、ARP (Address Resolution Protocol), ICMP (Internet Control Message Protocol), SNMP (Simple Network Management Protocol), netstat等のコマンドのパケットであってよく、uPnP (Universal Plug and Play), DLNA (Digital Living Network Aliance)準拠のプロトコルのパケットであってもよい。また、リクエストパケットは、ブロードキャストパケットでもよい。

端末情報収集部１６は、リクエストパケットを受信した端末１から、レスポンスパケットを受信する（ステップ２）。ここでは、一例として、それぞれ異なる種類のリクエストパケットA、B、Cを送り、それぞれに対して端末１からレスポンスパケットX、Y、Zを受信したものとする。

続いて、端末情報収集部１６は、レスポンスパケットから抽出される端末１のMACアドレスが既に端末構成情報テーブルに記録されているか否かを調べ（ステップ３）、記録されていれば、端末１に関する情報は既に端末構成情報テーブルに登録されていると判断し、今回の端末１に関しての処理を終了する。

端末１のMACアドレスが端末構成情報テーブルに記録されていない場合、端末情報収集部１６は、レスポンスパケットX、Y、Zを含む端末機種情報要求を端末機種情報提供サーバ５に送信する（ステップ４）。なお、端末機種情報要求には、レスポンスパケットX、Y、Z自体を含むこととしてもよいし、機種判別のために必要な情報のみを含むものとしてもよい。

端末機種情報提供サーバ５において、要求受信部５１が端末機種情報要求を受信する。そして、端末機種判定部５３が、端末機種情報要求に含まれるレスポンスパケットの内容と、定義情報格納部５２に格納される定義情報とを比較することにより、定義情報に対応付けられた機種毎に得点化を行う（ステップ５）。

本例では、リクエストパケットAがARPパケットであるものとし、そのレスポンスパケットXに、端末１のMACアドレスが含まれているものとする。ここで、一般に、MACアドレスのうち、最初の２４ビットがメーカを表し、次の8ビットが機種を表している。また、図７の各機種の定義情報には、定義項目１として、該当機種のメーカを示す２４ビットが設定され、定義項目２として、機種（メーカの識別情報を除く機種）を示す８ビットが設定されている。

そこで、本例では、端末機種判定部５３は、各機種の定義情報に関して、レスポンスパケットXから抽出したMACアドレスの上位２４ビットと定義項目１の２４ビットとを比較し、一致すれば該当機種に対して０．３ポイントを与える。そして、レスポンスパケットXから抽出したMACアドレスの上位２４ビットの次の８ビットと定義項目２の８ビットとを比較して一致すれば更に０．３ポイントを与えることとしている。付与されたポイントは、機種毎にメモリ等に保持される。一致しなかった場合は、ポイントを付与しないこととする他、ビットの一致の度合い（何ビット一致したかなど）に応じて、少ないポイントを付与することとしてもよい。

また、本例では、リクエストパケットBは、端末１においてTCP／IP通信で使用中（バインド中）のポート番号を収集可能なコマンド（例えばnetstatコマンド）であるものとし、リクエストパケットBのレスポンスパケットYには、端末１で使用中のポート番号が含まれる。また、図７の各機種の定義情報には、定義項目３として、該当機種で使用するポート番号が設定されている。

端末機種判定部５３は、レスポンスパケットYに含まれる使用中のポート番号と、定義項目３におけるポート番号とを比較してポイントを付与する。例えば、使用中のポート番号と定義項目３におけるポート番号とが完全に一致すれば０．２ポイントを付加する。また、使用中のポート番号の中に、定義項目３に含まれないポート番号があったり、定義項目３に含まれるポート番号の中に、使用されていないポート番号があった場合には、完全に一致した場合のポイントからポイントを減少させることとしてよい。なお、ポート番号の一致度に応じてポイントを付与する方法には種々の方法があり、一致度を適切に表す方法であれば、どのような方法を用いてもよい。

また、定義項目４についても、レスポンスパケットZに含まれる情報と、定義情報との比較がなされ、機種毎にポイントが付与される。なお、本実施の形態における定義項目やポイント付与の方法は一例に過ぎず、他の様々な定義項目及びポイント付与方法が適用可能である。

以上のようにして、端末機種判定部５３が、各機種毎に、全ての種類のレスポンスパケットに関してのポイントを求める。そして、端末機種判定部５３は、各機種毎に、全てのレスポンスパケットに関してのポイントの合計を算出し、最もポイントの高い機種を、端末１の機種と判定する（ステップ６、７）。

例えば、機種Aに関して、定義項目１のポイントが０、定義項目２のポイントが０、定義項目３のポイントが０．２、定義項目４のポイントが０．２であり、機種Bに関して、定義項目１のポイントが０、定義項目２のポイントが０、定義項目３のポイントが０、定義項目４のポイントが０．３であり、機種Cに関して、定義項目１のポイントが０．３、定義項目２のポイントが０．３、定義項目３のポイントが０．２、定義項目４のポイントが０．３であるとすると、機種Cの合計ポイントが最も高くなるので、端末機種判定部５３は、機種Cを、端末１の機種であると判定する。

また、端末機種判定部５３は、決定した機種に対応するポリシー適合用ソフトウェア導入可否情報を、図８に示したテーブルから取得する（ステップ８）。

そして、応答送信部５４が、決定した機種情報と、ポリシ適合用ソフトウェア導入可否情報（否の場合、URLを含む）とを、端末情報収集部１６に送信する（ステップ９）。端末情報収集部１６は、レスポンスパケットから取得される端末１のMACアドレスと、端末機種情報提供サーバ５から受信した機種情報と、ポリシー適合用ソフトウェア導入可否情報とを端末構成管理部１１に渡し（ステップ１０）、端末構成管理部１１は、端末情報収集部１６から受け取った情報とエントリ更日時とを端末構成情報テーブルに記録するとともに、通過許可欄をOFF（通過させない）にする。更に、端末構成管理部１１は、今回判別された機器種別に対応するグループＩＤをマスターポリシーテーブルから取得し、これを端末構成情報テーブルに記録する（ステップ１１）。この時点での端末構成情報テーブルの例を図１１に示す。

なお、端末機種情報判定サーバ５が保持する定義情報として、図７に示した形式に代えて、定義項目値及びポイントを識別するための識別情報を格納するテーブルと、当該識別情報毎に定義項目値及びポイントを格納するテーブルとを定義情報とする形式を採用してもよい。また、上記の処理では、端末機種情報提供サーバ５が、ポリシー適合用ソフトウェア導入可否情報も提供することとしたが、端末機種情報提供サーバ５は機種情報のみをアクセス制御システム１０に送り、アクセス制御システム１０において、機種情報に基づきマスターポリシーテーブルを参照することにより、ポリシー適合用ソフトウェア導入可否情報を取得し、端末構成情報テーブルに設定することとしてもよい。

＜マスターポリシーテーブルの設定時の処理＞
アクセス制御システム１０では、ネットワーク管理者等により、必要に応じて、ＬＡＮ配下の端末に関してのマスターポリシーテーブルの設定（"設定"は、新規設定および更新を含むものとする）が行われる。この場合の処理を図１２を参照して説明する。

まず、ネットワーク管理者等により、ＬＡＮ配下の端末に関してのマスターポリシーテーブルの設定が行われ、例えば、図４に示したマスターポリシーテーブルが形成される（ステップ２１）。

マスターポリシーテーブルが設定されると、アクセス制御システム１０の端末構成管理部１１は、端末構成情報テーブルを参照し、マスターポリシーテーブルで設定されたエントリのＭＡＣアドレス又は機器種別に合致するエントリを検索する（ステップ２２）。該当するエントリがなければここでの処理を終了する。

該当するエントリがある場合には、端末構成管理部１１は、ポリシー適合判定部１２に対して、該当エントリの端末についてのポリシー判定要求を送信する（ステップ２３）。ポリシー適合判定部１２は、判定対象の端末（グループ）に関して、マスターポリシーテーブルに設定された内容と、端末構成情報テーブルに記載された内容とを照合することによりポリシー判定を行う（ステップ２４）。そして、ポリシー判定結果が端末構成管理部１１に送られる（ステップ２５）。

端末構成管理部１１は、この判定結果が、ポリシーに適合するとの判定結果であって、該当端末についての端末構成情報テーブルにおける通過許可欄がOFFになっていれば、それをＯＮにする。また、この判定結果が、ポリシーに適合しないとの判定結果であって、端末構成情報テーブルにおける通過許可欄がＯＮになっていれば、それをＯＦＦにする。

また、ポリシー適合判定部１２は、判定結果とMACアドレスとを含むポリシー適合端末リスト更新要求をパケット通過制御部１４に送信する（ステップ２６）。パケット通過制御部１４は、ポリシー適合端末リスト更新要求に基づきポリシー適合端末リストの更新を行う（ステップ２７）。

つまり、ステップ２７において、パケット通過制御部１４は、ポリシー適合判定部１２から受信した判定結果がポリシーに適合する旨の判定結果である場合には、ポリシー適合判定部１２から受信したMACアドレスをポリシー適合端末リストに記録する。なお、既に同じMACアドレスが記録されている場合は、上書きする。また、パケット通過制御部１４は、ポリシー適合判定部１２から受信した判定結果がポリシーに適合しない旨の判定結果である場合、ポリシー適合判定部１２から受信したMACアドレスがポリシー適合端末リストに含まれているかどうかチェックし、含まれている場合にそのMACアドレスをポリシー適合端末リストから削除する。

上記の処理によって、マスターポリシーテーブルの更新等によりポリシーに適合しなくなった端末の外部アクセス要求は遮断されることになる。

＜ネットワークアクセス処理＞
次に、端末１が外部ネットワーク３０上の装置等にアクセスする場合のシステムの動作を、図１３〜図１５のシーケンスチャートを参照して説明する。

まず、端末１において、外部ネットワーク３０上の装置もしくはLAN２０内の装置へのアクセス指示がユーザにより入力される（ステップ３１）。なお、本実施の形態において、端末１が外部ネットワーク３０の装置にアクセスしようとする場合と、端末１がLAN内の装置にアクセスしようとする場合において、アクセス制御システム１０における処理内容に実質的な違いはないので、本動作例の説明においては、"外部ネットワーク３０の装置もしくはLAN２０内の装置"を"外部装置／LAN内装置"と記述し、これらをまとめて説明している。

本実施の形態におけるLAN２０では、端末１からの外部装置／LAN内装置に対するアクセス要求は、全てまずアクセス制御システム１０におけるパケット通過制御部１４が受信するように設定がなされている。

従って、ステップ３２において、端末１から送信されたアクセス要求は、パケット通過制御部１４が受信する。

アクセス要求を受信したパケット通過制御部１４は、当該アクセス要求のパケットから発信元の端末１のMACアドレスを取得し、当該MACアドレスがポリシー適合端末リストに含まれるかどうかをチェックすることにより、端末１がポリシーに適合しているか否かの判定を行う（ステップ３３）。当該MACアドレスがポリシー適合端末リストに含まれる場合、アクセス要求のパケットはパケット通過制御部１４を通過し、その宛先に向けて転送される（ステップ３４）。

上記MACアドレスがポリシー適合端末リストに含まれていない場合、アクセス要求の通過は許可されない。この場合、パケット通過制御部１４は、端末１のＭＡＣアドレスに基づき、端末構成情報格納部１３に格納された端末構成情報テーブルにおけるポリシー適合用ソフトウェア導入可否の欄を参照し、端末１においてポリシー適合用ソフトウェアの導入が可能か否かを確認する（ステップ３５）。

ポリシー適合用ソフトウェアの導入が可能である場合は、ステップ３６に進み、ポリシー適合用ソフトウェアの導入が可能でない場合は、ステップ５３に進む。まず、ポリシー適合用ソフトウェアの導入が可能である場合について説明する。

ステップ３６において、パケット通過制御部１４は、端末１からのパケットの捕捉及び宛先書き換え等を行うことにより、端末１からのアクセス要求の宛先をポリシー適合用ソフトウェアDLサーバ３に切り替える（ステップ３６、３７）。なお、端末１をポリシー適合用ソフトウェアDLサーバ３にアクセスさせるための処理は、この方法に限らず、例えばリダイレクト等の種々の方法で行うことができ、端末１を強制的にポリシー適合用ソフトウェアDLサーバ３にアクセスさせることができればどの方法を用いてもよい。

ステップ３６、３７の段階で、端末１のユーザが強制切替を嫌い、ブラウザを強制終了するなどして、再度外部装置等への接続を試みたとしても、ポリシー適合端末リストに端末１のMACアドレスが登録されない限り、ポリシー適合用ソフトウェアDLサーバ３への強制切替が繰り返されることになる。

アクセス要求を受信したポリシー適合用ソフトウェアDLサーバ３は、端末１に対してポリシー適合用ソフトウェアDL画面情報を送信する（ステップ３８）。ポリシー適合用ソフトウェアDL画面情報を受信した端末１は、そのディスプレイ上にポリシー適合用ソフトウェアDL画面を表示し、その画面を見たユーザによりポリシー適合用ソフトウェアDL指示が端末１に対してなされる（ステップ３９）。

ポリシー適合用ソフトウェアDL指示を受けた端末１は、ポリシー適合用ソフトウェアDL要求をポリシー適合用ソフトウェアDLサーバ３に送信し、ポリシー適合用ソフトウェアDLサーバ３は当該ポリシー適合用ソフトウェアDL要求を受信する（ステップ４０）。なお、パケット通過制御部１４は、宛先がポリシー適合用ソフトウェアDLサーバ３であるパケットについてはポリシー適合端末リストのチェックを行わずにパケットを通過させるように設定されている。

端末１からポリシー適合用ソフトウェアDL要求を受信したポリシー適合用ソフトウェアDLサーバ３は、ポリシー適合用ソフトウェアを端末１に送信する（ステップ４１）。ポリシー適合用ソフトウェアを受信した端末１では、ポリシー適合用ソフトウェアがインストールされて実行され、インストールが完了した旨の画面表示がなされる（ステップ４２）。 なお、ポリシー適合用ソフトウェアがインストールされた端末１では、OSが起動すると同時にポリシー適合用ソフトウェアが動作を開始するように設定がされる。

ポリシー適合用ソフトウェアが実行されている端末１は、ポリシー適合用ソフトウェアの機能により、端末構成管理部１１に対してマスターポリシー要求を送信する（図１４のステップ４３）。このマスターポリシー要求には、少なくとも端末１のMACアドレスが含まれる。端末構成管理部１１では、このＭＡＣアドレスから端末１のグループＩＤを判別し、当該グループＩＤに対応したマスターポリシーテーブルのエントリを抽出することが可能である。また、端末１において、自身のグループＩＤを判別可能な場合は、マスターポリシー要求の中にグループＩＤを含めてもよい。

マスターポリシー要求の送信は、ポリシー適合用ソフトウェアがインストールされ、実行開始した直後に行われるとともに、その後、定期的に行われる。

すなわち、ステップ４３とそれ以降の処理は、ポリシー適合用ソフトウェアがインストールされた直後のみならず、ポリシー適合用ソフトウェアがインストールされた端末１が起動している間、定期的に行われる。

マスターポリシー要求を受信した端末構成管理部１１は、端末構成情報格納部１３を参照し、端末１に該当するマスターポリシー情報をマスターポリシーテーブルから取得し、端末１に送信する（ステップ４４）。

マスターポリシー情報を受信した端末１では、ポリシー適合用ソフトウェアの機能により、ポリシー適合処理が行われる（ステップ４５）。ここでは、端末１の現状のソフトウェア設定内容が、マスターポリシー情報に記述された条件を満たしているかどうかチェックを行い、マスターポリシー情報に記述された条件を満たしていない項目があった場合に、その項目についての条件を満たすための処理を行う。

例えば、マスターポリシー情報に、バージョンＸのＯＳパッチがインストールされていなければならないという条件が記述されていた場合に、端末１において当該バージョンＸのＯＳパッチがインストールされているかどうかがチェックされ、インストールされていない場合には、ポリシー適合用ソフトウェアの機能により、端末１は自動的にバージョンＸのＯＳパッチのダウンロードサイトにアクセスし、当該ＯＳパッチをダウンロードしてインストールする。

また、例えば、マスターポリシー情報に、ＯＳの自動更新設定がＯＮでなければならないという条件が記述されていた場合に、端末１においてＯＳの自動更新設定がＯＮかどうかがチェックされ、ＯＳの自動更新設定がＯＦＦである場合に、端末１は自動的にＯＳの自動更新設定をＯＮとする。

ポリシー適合処理の後、ポリシー適合処理後における端末１の構成情報収集が行われ、端末１は、最新の端末構成情報とともにポリシー適合処理終了通知を端末構成管理部１１に送信する（ステップ４６）。

端末構成情報を受信した端末構成管理部１１は、当該端末構成情報により、端末構成情報テーブルにおける端末１のソフトウェア構成情報を更新する（ステップ４７）。

なお、ポリシー適合用ソフトウェアの機能により、端末１は、ポリシー適合処理の実行と関係なく定期的に端末１の構成情報を収集し、それを端末構成管理部１１に送り、端末構成管理部１１が端末構成情報テーブルの更新を行うこととしてもよい。更に、端末構成管理部１１は、端末１のポリシー適合用ソフトウェアとの疎通を確認するための通信を定期的に行って、端末１のユーザによるポリシー適合用ソフトウェアの削除や強制終了がされて端末構成管理部１１の管理下から逸脱していないことをチェックしてもよい。

続いて、端末構成管理部１１は、端末１についてのポリシー適合判定要求（端末１のMACアドレスを含む）をポリシー適合判定部１２に送信する（ステップ４８）。ポリシー適合判定要求を受信したポリシー適合判定部１２は、端末構成情報テーブルにおける端末１に関しての端末構成情報と、マスターポリシーテーブルにおける該当する情報とを比較することにより端末１がポリシーに適合しているかどうか判定し（ステップ４９）、ポリシー判定結果を端末構成管理部１１に送信するとともに（ステップ５０）、判定結果とMACアドレスとを含むポリシー適合端末リスト更新要求をパケット通過制御部１４に送信する（ステップ５１）。

判定結果を受信した端末構成管理部１１では、判定結果がポリシーに適合する旨の結果である場合は、端末構成情報テーブルにおける端末１の通過許可欄をＯＮにする。また、もし、端末構成情報テーブルにおける端末１の通過許可欄がＯＮになっていて、判定結果がポリシーに適合しない旨の結果である場合は、通過許可欄はＯＦＦにされる。

また、判定結果がポリシーに適合しない旨の結果である場合、端末構成管理部１１は、端末１に対してポリシー適合のための処理をするよう指示を行う。指示を受けた端末１は、ポリシー適合用ソフトウェアの機能により、ステップ４３からの処理を実行する。

ステップ５１においてポリシー適合端末リスト更新要求を受信したパケット通過制御部１４は、判定結果がポリシーに適合する旨の判定結果である場合には、ポリシー適合判定部１２から受信したMACアドレスをポリシー適合端末リストに記録する（ステップ５２）。なお、既に同じMACアドレスが記録されている場合は、上書きする。

また、パケット通過制御部１４は、ポリシー適合判定部１２から受信した判定結果がポリシーに適合しない旨の判定結果である場合、ポリシー適合判定部１２から受信したMACアドレスがポリシー適合端末リストに含まれているかどうかチェックし、含まれている場合にそのMACアドレスをポリシー適合端末リストから削除する（ステップ５２）。
上記のステップ４８からの処理は、ステップ４７（テーブル更新）が行われた直後のタイミングで実行するとともに、ステップ４７までの処理と関わりなく、ポリシー適合ソフトウェア導入が可である各端末について定期的に行われる。これにより、例えば、ポリシーに適合していた端末が長期間電源投入されていない間に、マスターポリシーに変更があり、端末がポリシーに適合しなくなったような場合に、そのことを適切にポリシー適合端末リストに反映させることができる。

ステップ５２で端末１のMACアドレスがポリシー適合端末リストに記録された後、端末１において外部装置／LAN内装置へのアクセス指示が再びなされれば、パケット通過制御部１４に送られるアクセス要求に対して通過が許可され、端末１は目的のサイト等にアクセスできる。

次に、ステップ３５において、ポリシー適合用ソフトウェアの導入が可能でないと判定された場合の処理（ステップ５３からの処理）を説明する。

図１５のステップ５３において、パケット通過制御部１４は、端末構成情報テーブルにおけるポリシー適合用ソフトウェア導入可否の欄に記述されたアクセス先のＵＲＬに基づき、端末１からのアクセス要求に係るパケットの捕捉及び宛先書き換えなどを行うことにより、端末１からのアクセス要求の宛先を端末情報管理サーバ６に切り替える（ステップ５３、５４）。ステップ３６、３７の場合と同様に、端末１を端末情報管理サーバ６にアクセスさせるための処理は、この方法に限らず、リダイレクト等の種々の方法で行うことができる。

アクセス要求を受信した端末情報管理サーバ６の機器情報取得部６１は、端末１に対して、機器情報送信要求を送信する（ステップ５５）。端末情報管理サーバ６から機器情報送信要求を受信した端末１は、機器情報を含む応答を返す（ステップ５６）。

この機器情報は、例えば、端末情報管理サーバ６において、端末１のソフトウェア構成情報を導出可能とするソフトウェア識別情報である。この場合、例えば、端末情報管理サーバ６は、各ソフトウェア識別情報と、ソフトウェア構成情報（端末１のＯＳの種別及びバージョン、インストールされているアプリケーションの種別及びバージョン等の端末構成情報テーブルに記録するための情報）とを対応付けて記憶手段に保持しており、ソフトウェア構成情報提供部６２が当該記憶手段を参照し、端末１から受信したソフトウェア識別情報に基づき、端末１のソフトウェア構成情報を取得する。

もしくは、端末１が応答として送信する機器情報は、端末１のソフトウェア構成情報そのものを含むものであってもよい。つまり、この場合、端末情報管理サーバ６のソフトウェア構成情報提供部６２は、応答からソフトウェア構成情報を取得する。

もしくは、端末１は、機器情報送信要求に対応する応答として、ソフトウェア構成情報のうちの端末１が取得できる情報（ＯＳ種別及びバージョン等）と、ソフトウェア識別情報とを、端末情報管理サーバ６に送信し、端末情報管理サーバ６は、ソフトウェア識別情報に基づき、記憶手段を参照して、ソフトウェア構成情報のうちのその他の情報（アプリケーションの種別及びバージョン）を取得することとしてもよい。

端末１から応答を受信した端末情報管理サーバ６のソフトウェア構成情報提供部６２は、上記のようにして端末１のソフトウェア構成情報を取得し（図１５のステップ５７）、ソフトウェア構成情報をアクセス制御システム１０における端末構成管理部１１に送信する（ステップ５８）。

そして、端末構成管理部１１は、端末情報管理サーバ６から受信した端末１のソフトウェア構成情報に基づき、端末構成情報テーブルにおける端末１に該当するエントリに情報を記録する（ステップ５９）。ステップ５９での記録が行われた後の端末構成情報テーブルの例を図１６に示す。図１６に示すように、端末情報管理サーバ６から受信したソフトウェア構成情報に基づき、ＯＳ更新設定、ＯＳ種別、ＯＳバージョン、アプリ種別、アプリバージョンの各欄についての情報の記録が行われている。

続いて、端末構成管理部１１は、端末１についてのポリシー適合判定要求（端末１のMACアドレスを含む）をポリシー適合判定部１２に送信する（ステップ６０）。ポリシー適合判定要求を受信したポリシー適合判定部１２は、端末構成情報テーブルにおける端末１に関しての端末構成情報と、マスターポリシーテーブルにおける該当する情報とを比較することにより端末１がポリシーに適合しているかどうか判定する（ステップ６１）。

そして、ポリシー適合判定部１２は、判定結果を端末構成管理部１１に送信する（ステップ６２）。ここでの判定結果が、ポリシーに適合している旨の結果である場合、端末構成管理部１１は、端末構成情報テーブルにおける端末１に対応するエントリにおける通過許可の欄をＯＮにし、もし、端末構成情報テーブルにおける端末１の通過許可欄がＯＮになっていて、判定結果がポリシーに適合しない旨の結果である場合は、通過許可欄をＯＦＦにする。

また、ステップ６１において、ポリシーに適合していないと判定された場合、ポリシー適合判定部１２は、ステップ６５からのポリシー適合処理を行うが、これについては後述する。

ポリシーに適合している場合としていない場合の両方に場合において、ポリシー適合判定部１２は、判定結果とMACアドレスとを含むポリシー適合端末リスト更新要求をパケット通過制御部１４に送信する（ステップ６３）。

パケット通過制御部１４は、ポリシー適合判定部１２から受信した判定結果がポリシーに適合する旨の判定結果である場合には、ポリシー適合判定部１２から受信したMACアドレスをポリシー適合端末リストに記録する（ステップ６４）。なお、既に同じMACアドレスが記録されている場合は、上書きする。

また、パケット通過制御部１４は、ポリシー適合判定部１２から受信した判定結果がポリシーに適合しない旨の判定結果である場合、ポリシー適合判定部１２から受信したMACアドレスがポリシー適合端末リストに含まれているかどうかチェックし、含まれている場合にそのMACアドレスをポリシー適合端末リストから削除する（ステップ６４）。

次に、ポリシーに適合していないと判定された場合におけるポリシー適合処理について説明する。

ステップ６１において、端末１がポリシーに適合していないと判定された場合、ポリシー適合判定部１２は、ポリシー適合誘導要求を端末情報管理サーバ６に送信する（ステップ６５）。

本例では、マスターポリシーテーブルの端末１（グループＩＤ：００２）に該当するエントリにおいて、ＯＳバージョンが４．１であるのに対し（図４の第２行目参照）、現状の端末１のＯＳのバージョンは３．０である（図１６参照）。そのため、本例でのポリシー適合誘導要求は、ＯＳのバージョンアップ誘導要求となる。具体的には、例えば、このバージョンアップ誘導要求は、端末情報管理サーバ６に対して、ＯＳのバージョンアップ画面を端末１に送信することを要求するものである。

ポリシー適合誘導要求を受信した端末情報管理サーバ６では、画面データ作成提供部６３が、ポリシー適合操作要求画面データを端末１に送信し（ステップ６６）、端末１上にはポリシー適合操作要求画面が表示される。本例では、ポリシー適合操作要求画面は、ＯＳのバージョンアップ操作要求画面であり、例えば、"ＯＳバージョンアップ用データダウンロード"ボタンを含む画面である。

ユーザが、端末１においてポリシー適合操作（本例では、例えば、"ＯＳバージョンアップ用データダウンロード"ボタンを選択する操作）が行われると（ステップ６７）、端末１から、ポリシー適合用データダウンロード要求（本例では、ＯＳバージョンアップ用データダウンロード要求）が送信され（ステップ６８）、端末情報管理サーバ６における端末ソフトウェア更新処理部６４が、端末ソフトウェア更新用データ格納部６５からポリシー適合用データ（本例では、ＯＳバージョンアップ用データ）を取得し、そのデータを端末１に対してダウンロードする（ステップ６９）。

そして、端末１において、ポリシー適合用データがインストールされる（ステップ７０）。すなわち、本例では、ＯＳのバージョンアップがなされる。その後、端末１からポリシー適合処理完了通知（本例では、ＯＳバージョンアップ完了通知）が端末情報管理サーバ６に対して送信される（ステップ７１）。

その後、ステップ５５以降の処理が再度実行される。すなわち、端末情報管理サーバ６が端末１から最新の情報を取得し、端末１に関する最新のソフトウェア構成情報が端末構成管理部１１に送られ、端末構成情報テーブルが更新され、ポリシー適合判定が行われる。今回は、ポリシーに適合していると判定されるので、端末構成情報テーブルにおける"通過許可"の欄がＯＮになり、ポリシー適合端末リスト格納部１５に端末１のＭＡＣアドレスが追加されることになる。この時点での端末構成情報テーブルは図３に示したものである。もちろん、何らかの理由で、ポリシーに適合していないと判定されれば、再びポリシー適合処理が行われる。

また、端末からのアクセス等に関係なく、端末構成管理部１１は、端末構成情報テーブルにおけるポリシー適合用ソフトウェア導入可否欄がＮＧの各エントリに対して、予め定めた時間間隔で、"通過許可"の欄をＯＦＦに変更し、図１２に示したステップ２３〜２７の処理を実行する。つまり、ポリシー適合判定が行われ、例えば、ポリシーに適合してないと判定されれば、ポリシー適合端末リストから該当端末のＭＡＣアドレスが削除され、これ以降の外部アクセスが遮断されることになる。また、当該端末からアクセスがあれば、上述した処理内容に従って、ポリシー適合処理が行われる。

このように、予め定めた時間間隔で、"通過許可"の欄をＯＦＦに変更することにより、一旦外部への通過が許可された端末において、ソフトウェアが初期化されてバージョンがデグレードした場合や、最新のソフトウェアバージョンの公開によって端末１にインストールされたソフトウェアのバージョンが陳腐化した場合であっても、端末からのアクセスに応じて端末をポリシーに適合させることが可能となる。

（実施の形態に係るアクセス制御システムの効果）
本実施の形態に係るアクセス制御システム１０では、端末から送信されるパケット（通信データ）の送信元MACアドレスに基づき、端末がポリシーに適合しているかどうかを判定し、ポリシーに適合していない端末については、ポリシー適合用ソフトウェアの導入可否に応じて、端末をポリシー適合用ソフトウェアDLサーバ３に誘導するか、もしくは端末情報管理サーバ６に誘導することとしたので、種々の端末に対してポリシー設定を強制することができる。従って、ＰＣ等の端末のみならず、ポリシー適合用ソフトウェアの導入が困難な端末に対しても、端末への設定漏れを無くし、ポリシーが適用されていない時間を最小限にすることができる。

本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。

１ 端末
２ 内部サービスサーバ
３ ポリシー適合用ソフトウェアダウンロード（DL）サーバ
４ 外部サービスサーバ
５ 端末機種情報提供サーバ
６ 端末情報管理サーバ
１０ アクセス制御システム
２０ ＬＡＮ
３０ 外部ネットワーク
１１ 端末構成管理部
１２ ポリシー適合判定部
１３ 端末構成情報格納部
１４ パケット通過制御部
１５ ポリシー適合端末リスト格納部
１６ 端末情報収集部
５１ 要求受信部
５２ 定義情報格納部
５３ 端末機種判定部
５４ 応答送信部
６１ 機器情報取得部
６２ ソフトウェア構成情報提供部
６３ 画面データ作成提供部
６４ 端末ソフトウェア更新処理部
６５ 端末ソフトウェア更新用データ格納部

Claims (8)

1. 通信ネットワークに接続された端末装置に対するアクセス制御を行うアクセス制御システムであって、
   前記端末装置が前記通信ネットワークのポリシーに適合しているかどうかを判定するポリシー適合判定手段と、
   前記ポリシー適合判定手段により前記ポリシーに適合すると判定された各端末装置のアドレスリストを格納するアドレスリスト格納手段と、
   各端末装置毎に、ポリシー適合用ソフトウェアを導入可能か否かを示す情報を格納する構成情報格納手段と、
   前記端末装置から送信された通信データを受信し、当該通信データの送信元アドレスが前記アドレスリスト格納手段の中の前記アドレスリストに含まれる場合に、当該通信データを通過させ、前記送信元アドレスが前記アドレスリストに含まれない場合に、前記通信データを通過させない通信データ通過制御手段と、を備え、
   前記通信データ通過制御手段は、前記送信元アドレスが前記アドレスリストに含まれない場合に、前記構成情報格納手段を参照し、前記通信データの送信元の端末装置におけるポリシー適合用ソフトウェア導入可否を判定し、導入可である場合に、前記端末装置をポリシー適合用ソフトウェア提供装置にアクセスさせ、導入不可である場合に、前記端末装置を、当該端末装置をポリシーに適合させるために必要なデータを提供する端末情報管理装置にアクセスさせる
   ことを特徴とするアクセス制御システム。
2. 通信ネットワークに接続された端末装置に対するアクセス制御を行うアクセス制御システムであって、
   前記端末装置のアドレスに対応付けて当該端末装置のソフトウェア構成情報とポリシー適合用ソフトウェアを導入可能か否かを示す情報とを格納する構成情報格納手段と、
   前記端末装置が前記通信ネットワークのポリシーに適合するためにとるべきソフトウェア構成を表すソフトウェア構成条件情報を格納する構成条件情報格納手段と、
   前記ソフトウェア構成情報と前記ソフトウェア構成条件情報とを比較することにより、前記端末装置が前記通信ネットワークのポリシーに適合しているかどうかを判定するポリシー適合判定手段と、
   前記ポリシー適合判定手段により前記ポリシーに適合すると判定された各端末装置のアドレスリストを格納するアドレスリスト格納手段と、
   前記端末装置から送信された通信データを受信し、当該通信データの送信元アドレスが前記アドレスリスト格納手段の中の前記アドレスリストに含まれる場合に、当該通信データを通過させ、前記送信元アドレスが前記アドレスリストに含まれない場合に、前記通信データを通過させない通信データ通過制御手段と、を備え、
   前記通信データ通過制御手段は、前記送信元アドレスが前記アドレスリストに含まれない場合に、前記構成情報格納手段を参照し、前記通信データの送信元の端末装置におけるポリシー適合用ソフトウェア導入可否を判定し、導入可である場合に、前記端末装置をポリシー適合用ソフトウェア提供装置にアクセスさせ、導入不可である場合に、前記端末装置を、当該端末装置をポリシーに適合させるために必要なデータを提供する端末情報管理装置にアクセスさせる
   ことを特徴とするアクセス制御システム。
3. 前記通信ネットワークに接続される端末装置にパケットを送信し、当該端末装置から受信する応答パケットに基づき、当該端末装置におけるポリシー適合用ソフトウェア導入可否情報を取得し、当該ポリシー適合用ソフトウェア導入可否情報を前記構成情報格納手段に格納する端末情報収集手段を備えることを特徴とする請求項１又は２に記載のアクセス制御システム。
4. 前記端末情報収集手段は、前記応答パケットの情報を含む端末機種情報要求を、通信ネットワークに接続された端末機種情報提供装置に送信し、当該端末機種情報提供装置において前記応答パケットの情報に基づき判別された前記端末装置の機器種別と、当該機器種別に対応するポリシー適合用ソフトウェア導入可否情報とを、当該端末機種情報提供装置から受信し、受信した情報を前記構成情報格納手段に格納することを特徴とする請求項３に記載のアクセス制御システム。
5. 前記端末情報管理装置から、前記端末装置のソフトウェア構成情報を受信し、当該ソフトウェア構成情報を前記構成情報格納手段に格納する構成情報管理手段を備えることを特徴とする請求項１ないし４のうちいずれか１項に記載のアクセス制御システム。
6. 前記ポリシー適合判定手段は、ポリシー適合用ソフトウェア導入ができない端末装置が前記通信ネットワークのポリシーに適合していないと判定された場合に、当該端末装置にポリシー適合操作要求画面データを送信するよう前記端末情報管理装置に対して要求することを特徴とする請求項５に記載のアクセス制御システム。
7. 通信ネットワークに接続された端末装置に対するアクセス制御を行うアクセス制御システムが実行するアクセス制御方法であって、
   前記アクセス制御システムは、当該アクセス制御システムが備えるポリシー適合判定手段により前記通信ネットワークのポリシーに適合すると判定された各端末装置のアドレスリストを格納するアドレスリスト格納手段と、各端末装置毎に、ポリシー適合用ソフトウェアを導入可能か否かを示す情報を格納する構成情報格納手段とを備えており、前記アクセス制御方法は、
   前記端末装置から送信された通信データを受信する受信ステップと、
   前記通信データの送信元アドレスが前記アドレスリスト格納手段の中の前記アドレスリストに含まれる場合に、当該通信データを通過させ、前記送信元アドレスが前記アドレスリストに含まれない場合に、前記通信データを通過させない通信データ通過制御ステップと、を備え、
   前記通信データ通過制御ステップにおいて、前記アクセス制御システムは、前記送信元アドレスが前記アドレスリストに含まれない場合に、前記構成情報格納手段を参照し、前記通信データの送信元の端末装置におけるポリシー適合用ソフトウェア導入可否を判定し、導入可である場合に、前記端末装置をポリシー適合用ソフトウェア提供装置にアクセスさせ、導入不可である場合に、前記端末装置を、当該端末装置をポリシーに適合させるために必要なデータを提供する端末情報管理装置にアクセスさせる
   ことを特徴とするアクセス制御方法。
8. 通信ネットワークに接続された端末装置に対するアクセス制御を行うアクセス制御システムとして使用されるコンピュータを、
   前記端末装置が前記通信ネットワークのポリシーに適合しているかどうかを判定するポリシー適合判定手段、
   前記ポリシー適合判定手段により前記ポリシーに適合すると判定された各端末装置のアドレスリストを格納するアドレスリスト格納手段、
   各端末装置毎に、ポリシー適合用ソフトウェアを導入可能か否かを示す情報を格納する構成情報格納手段、
   前記端末装置から送信された通信データを受信し、当該通信データの送信元アドレスが前記アドレスリスト格納手段の中の前記アドレスリストに含まれる場合に、当該通信データを通過させ、前記送信元アドレスが前記アドレスリストに含まれない場合に、前記通信データを通過させない通信データ通過制御手段、として機能させるためのプログラムであって、
   前記通信データ通過制御手段は、前記送信元アドレスが前記アドレスリストに含まれない場合に、前記構成情報格納手段を参照し、前記通信データの送信元の端末装置におけるポリシー適合用ソフトウェア導入可否を判定し、導入可である場合に、前記端末装置をポリシー適合用ソフトウェア提供装置にアクセスさせ、導入不可である場合に、前記端末装置を、当該端末装置をポリシーに適合させるために必要なデータを提供する端末情報管理装置にアクセスさせる
   ことを特徴とするプログラム。

Images