JP2016024715A - 情報処理装置及びプログラム - Google Patents

Abstract

【課題】権限情報が有効であっても、受け付けた操作が権限の有効なときの操作とは異なる場合には、不正なものとして当該受け付けた操作を許可しないようにする。【解決手段】クライアント装置３０がオブジェクトに対する操作要求を送信すると、第２サービスサーバ２０は、クライアント装置３０のユーザに発行されたアクセスチケットを関連づけて、第１サービスサーバ１０に操作要求を送信する（Ｓ１１〜Ｓ１３）。第１サービスサーバ１０は、アクセスチケットが有効と判断した場合に（Ｓ１５；ＹＥＳ）、設定された操作に合致する操作要求と判断したときは（Ｓ１６；ＹＥＳ）、要求された操作を許可し（Ｓ１７）、合致しない操作要求と判断したときは（Ｓ１６；ＮＯ）、要求された操作を拒否し（Ｓ１８）、更にアクセスチケットを無効化する（Ｓ１９）。以後第１サービスサーバ１０は、無効化したアクセスチケットを用いた操作を拒否する（Ｓ１５；ＮＯ）。【選択図】図８

Description

本発明は、情報処理装置及びプログラムに関する。

ネットワークを通じて提供されるサービスを管理するシステムでは、クライアントに発行されたアクセスチケットを用いて、サービスの利用の可否が制御されることがある。特許文献１は、生成したアクセストークンとユーザ端末の識別番号とを１対１に対応付けて登録しておき、アクセストークンが登録されている場合であっても、ユーザ端末の識別番号が登録されていないときには、ユーザ端末からのアクセスを拒否することを開示している。

特開２０１２−１０８７３９号公報

ところで、データに対する操作の権限を示す権限情報が第三者に不正に取得され、当該権限情報を用いて不正にデータの操作を要求された場合には、正当な権限を有する者による要求か否かを区別することができない。
本発明の目的は、権限情報が有効であっても、受け付けた操作が権限の有効なときの操作とは異なる場合には、不正なものとして当該受け付けた操作を許可しないようにすることである。

本発明の請求項１に係る情報処理装置は、データに対する操作の権限を示す権限情報と関連づけて、前記操作を受け付ける受付手段と、受け付けられた前記操作のうち、前記権限情報が有効なときの第１の操作を許可し、前記権限情報が無効なときの前記第１の操作と、前記第１の操作と異なる第２の操作を拒否する制御を行う操作制御手段とを備える。

本発明の請求項２に係る情報処理装置は、請求項１に係る構成において、前記第２の操作が拒否された場合、当該第２の操作に関連づけられた前記権限情報を無効化する無効化手段を備えることを特徴とする。

本発明の請求項３に係る情報処理装置は、請求項１又は請求項２に係る構成において、前記権限情報を発行する発行手段と、前記権限情報が発行されたときに、当該権限情報に対応した前記第１の操作又は前記第２の操作を設定する設定手段とを備えることを特徴とする。

本発明の請求項４に係る情報処理装置は、請求項１又は請求項２に係る構成において、受け付けられた前記操作の履歴を記録する記録期間内に、当該履歴を記録する記録手段を備え、前記操作制御手段は、前記記録期間外に受け付けられた前記操作のうち、記録された前記履歴によって特定される操作に合致しない操作を前記第２の操作として拒否することを特徴とする。

本発明の請求項５に係る情報処理装置は、請求項４に係る構成において、前記権限情報を発行する発行手段と、前記権限情報が発行されたときに、当該権限情報に対応した前記記録期間を設定する設定手段とを備えることを特徴とする。

本発明の請求項６に係る情報処理装置は、請求項１から請求項５のいずれか１項に係る構成において、前記操作制御手段は、受け付けられた前記操作を行ったユーザの認証に成功した場合であっても、前記第２の操作を拒否することを特徴とする。

本発明の請求項７に係る情報処理装置は、請求項２に係る構成において、前記受付手段は、一の外部装置を介して複数のユーザが行った前記操作を受け付け、前記無効化手段は、前記外部装置を介して受け付けられた前記第２の操作が拒否された場合、前記複数のユーザに使用される前記権限情報を無効化することを特徴とする。

本発明の請求項８に係る情報処理装置は、請求項２又は請求項７に係る構成において、前記権限情報が無効化された場合、当該権限情報を使用するユーザに対して通知処理を行う通知処理手段を備えることを特徴とする。

本発明の請求項９に係るプログラムは、コンピュータを、データに対する操作の権限を示す権限情報と関連づけて、前記操作を受け付ける受付手段と、受け付けられた前記操作のうち、前記権限情報が有効なときの第１の操作を許可し、前記権限情報が無効なときの前記第１の操作と、前記第１の操作と異なる第２の操作を拒否する制御を行う操作制御手段として機能させるためのプログラムである。

請求項１，９に係る発明によれば、権限情報が有効であっても、受け付けた操作が権限の有効なときの操作とは異なる場合には、不正なものとして当該受け付けた操作を許可しないようにすることができる。
請求項２に係る発明によれば、権限情報を不正に用いた操作が行われた場合に、当該権限情報を無効化することができる。
請求項３に係る発明によれば、権限情報を発行したときに設定した操作に基づいて、当該権限情報を不正に用いた操作を拒否し、当該権限情報を無効化することができる。
請求項４に係る発明によれば、記録期間内に受け付けた操作の履歴に基づいて、記録期間外に受け付けた権限情報を不正に用いた操作を拒否し、当該権限情報を無効化することができる。
請求項５に係る発明によれば、権限情報を発行したときに設定した記録期間内に受け付けた操作の履歴に基づいて、記録期間外に受け付けた権限情報を不正に用いた操作を拒否し、当該権限情報を無効化することができる。
請求項６に係る発明によれば、ユーザの認証が不正に行われた場合であっても、権限情報を不正に用いた操作を拒否することができる。
請求項７に係る発明によれば、一の外部装置を介して複数のユーザの操作を受け付ける場合に、当該外部装置から権限情報が漏洩したときであっても、当該複数のユーザが使用する権限情報を不正に用いた操作を拒否することができる。
請求項８に係る発明によれば、権限情報を無効化した旨を、当該権限情報を用いるユーザに通知することができる。

第１実施形態に係るアクセス管理システムの全体構成を示す図。 同実施形態に係る第１サービスサーバのハードウェア構成を示すブロック図。 同実施形態に係る第１サービスサーバが記憶するデータの説明図。 同実施形態に係る第２サービスサーバのハードウェア構成を示すブロック図。 同実施形態に係るクライアント装置のハードウェア構成を示すブロック図。 同実施形態に係るアクセス管理システムの機能構成を示すブロック図。 同アクセス管理システムのアクセスチケットの発行時の動作を示すシーケンス図。 同アクセス管理システムの操作時の動作を示すシーケンス図。 同実施形態に係る第１サービスサーバが記憶するデータの説明図。 第２実施形態に係るアクセス管理システムの機能構成を示すブロック図。 同実施形態に係る第１サービスサーバが記憶するデータの説明図。 同実施形態に係るアクセス管理システムのアクセスチケットの発行時の動作を示すシーケンス図。 同アクセス管理システムの操作時の動作を示すシーケンス図。 同アクセス管理システムの操作時の動作を示すシーケンス図。 同実施形態に係る第１サービスサーバが記憶するデータの説明図。 同第１サービスサーバが記憶するデータの説明図。 同第１サービスサーバが記憶するデータの説明図。 同第１サービスサーバが記憶するデータの説明図。 同第１サービスサーバが記憶するデータの説明図。 同第１サービスサーバが記憶するデータの説明図。 変形例１に係る第１サービスサーバが記憶するデータの説明図。

［第１実施形態］
本発明の第１実施形態について図面を参照しつつ説明する。
図１は、本発明の一実施形態に係るアクセス管理システム１の全体構成を示す図である。アクセス管理システム１は、第１サービスサーバ１０と、第２サービスサーバ２０と、複数のクライアント装置３０（３０Ａ，３０Ｂ）とを備える。第１サービスサーバ１０、第２サービスサーバ２０及び複数のクライアント装置３０の各々は、通信回線ＮＷに接続する。通信回線ＮＷは、例えば、移動体通信網、ゲートウェイ装置及びインターネットを含む公衆通信回線であるが、ＬＡＮ（Local Area Network）等の他の通信回線（通信網）であってもよい。
なお、図１には、クライアント装置３０としてクライアント装置３０Ａ，３０Ｂの２台が示されているが、３台以上存在してもよい。また、クライアント装置３０Ａ，３０Ｂの各々は、異なるユーザによって使用される。

第１サービスサーバ１０は、本発明の情報処理装置の一例で、自装置で管理するオブジェクトに基づいてサービスを提供するサーバ装置である。オブジェクトとは、操作の対象となるデータのことをいう。オブジェクトの一例として、文書等を表す各種のファイル（電子ファイル）や、データが配下に格納されるフォルダがある。本実施形態のサービスは、第１サービスサーバ１０が管理するオブジェクトと、第２サービスサーバが管理するオブジェクトとの同期を、クライアント装置３０が第２サービスサーバ２０へアクセスすることにより実現されるようにするためのサービスである。オブジェクトを用いた情報処理として、オブジェクトの追加（作成）や表示、更新（編集）等の、オブジェクトを用いて実行される種々の処理がある。本実施形態の情報処理は、実行されるタイミングが規則的で、例えば、実行の時間間隔（例えば１時間間隔）が規則的であったり、複数の情報処理の実行の順番（例えば表示の後に更新）であったりする。

第１サービスサーバ１０は、クライアント装置３０にサービスを提供するために、第２サービスサーバ２０と連係する。具体的に、第１サービスサーバ１０は、クライアント装置３０のユーザに対してアクセスチケットを発行すると、発行したアクセスチケットを第２サービスサーバ２０に送信する。アクセスチケットは、ここでは、オブジェクトに対する操作の可否を制御するために使用される。アクセスチケットは、オブジェクトに対する操作の権限を示す権限情報の一例である。第２サービスサーバ２０は、クライアント装置３０からオブジェクトに対する操作が要求されると、アクセスチケットを用いて第１サービスサーバ１０にアクセスし、オブジェクトに対する操作を要求する。
クライアント装置３０は、ユーザに使用される情報処理機能及び通信機能を有する端末装置で、例えば、パーソナルコンピュータやタブレット型コンピュータである。

図２は、第１サービスサーバ１０のハードウェア構成を示すブロック図である。図２に示すように、第１サービスサーバ１０は、制御部１１と、通信部１２と、ユーザ情報記憶部１３１と、オブジェクト記憶部１３２と、アクセスチケット記憶部１３３とを備える。図２に破線で示した操作履歴記憶部１３４は、後で説明する第２実施形態の構成要素であり、本実施形態には関係ないものとする。
制御部１１は、演算処理装置としてのＣＰＵ（Central Processing Unit）、ＲＯＭ(Read Only Memory)及びＲＡＭ（Random Access Memory）を備えたマイクロコンピュータである。ＣＰＵは、ＲＯＭに記憶されたプログラムをＲＡＭに読み出して実行することにより、第１サービスサーバ１０の各部を制御する。通信部１２は、例えばモデムを備え、通信回線ＮＷに接続して通信する。ユーザ情報記憶部１３１、オブジェクト記憶部１３２及びアクセスチケット記憶部１３３は、ハードディスク装置等の記憶装置によって実現される。ユーザ情報記憶部１３１、オブジェクト記憶部１３２及びアクセスチケット記憶部１３３は、単一の記憶装置で実現されてもよいし、２以上の記憶装置で実現されてもよい。

図３は、第１サービスサーバ１０が記憶するデータを説明する図である。図３（ａ）はユーザ情報記憶部１３１が記憶するデータ、図３（ｂ）はオブジェクト記憶部１３２が記憶するデータ、図３（ｃ）はアクセスチケット記憶部１３３が記憶するデータを示す。
図３（ａ）に示すように、ユーザ情報記憶部１３１は、クライアント装置３０のユーザ毎に、ユーザＩＤと、パスワードと、メールアドレスとの各情報を対応付けて記憶する。ユーザＩＤは、ユーザを一意に識別する識別子である。ここでは、クライアント装置３０ＡのユーザのユーザＩＤを「UID-A」とし、クライアント装置３０ＢのユーザのユーザＩＤを「UID-B」とする。パスワードは、第１サービスサーバ１０へログインするクライアント装置３０のユーザを認証するための認証情報である。メールアドレスは、クライアント装置３０宛てに電子メールを送信するための宛先情報である。
なお、ユーザ情報記憶部１３１の情報は、例えば、第１サービスサーバ１０に対してユーザ登録が行われたときに記憶される。

図３（ｂ）に示すように、オブジェクト記憶部１３２は、記憶するオブジェクト毎に、オブジェクトＩＤと、親オブジェクトＩＤと、オブジェクト名と、作成日時と、作成者との各情報を対応付けて記憶する。
オブジェクトＩＤは、オブジェクトを一意に識別する識別子である。親オブジェクトＩＤは、上位に関連づけられたオブジェクトのオブジェクトＩＤで、例えば、ファイルが格納されたフォルダのオブジェクトＩＤである。オブジェクト名は、オブジェクトの名称（例えばファイル名又はフォルダ名）を示す。作成日時は、オブジェクトが作成された日時を示す。作成者は、オブジェクトを作成したクライアント装置３０のユーザのユーザＩＤを示す。

図３（ｃ）に示すように、アクセスチケット記憶部１３３は、発行されたアクセスチケット毎に、アクセスチケットＩＤと、発行ユーザと、許可操作情報と、有効／無効との各情報を対応付けて記憶する。
アクセスチケットＩＤは、発行されたアクセスチケットを一意に識別する識別子である。発行ユーザは、アクセスチケットが発行されたクライアント装置３０のユーザのユーザＩＤである。図３（ｃ）の例では、クライアント装置３０Ａのユーザに、アクセスチケットＩＤ「TikID-A」のアクセスチケットが発行され、クライアント装置３０Ｂのユーザに、アクセスチケットＩＤ「TikID-B」のアクセスチケットが発行されている。許可操作情報は、アクセスチケットが有効なときに許可される操作を示す。この許可操作情報は、アクセスチケットに対して定義されたオブジェクトのアクセス権を規定する情報である。有効／無効は、アクセスチケットが有効であるか否かを示す。アクセスチケットが有効の場合、データに対する操作が許可されることがある一方で、アクセスチケットが無効の場合、データに対する操作が許可されない（即ち拒否される）。

図４は、第２サービスサーバ２０のハードウェア構成を示すブロック図である。図４に示すように、第２サービスサーバ２０は、制御部２１と、通信部２２と、記憶部２３とを備える。
制御部２１は、演算処理装置としてのＣＰＵ、ＲＯＭ及びＲＡＭを備えたマイクロコンピュータである。ＣＰＵは、ＲＯＭに記憶されたプログラムをＲＡＭに読み出して実行することにより、第２サービスサーバ２０の各部を制御する。通信部２２は、例えばモデムを備え、通信回線ＮＷに接続して通信する。記憶部２３は、ハードディスク装置等の記憶装置を備え、同期の対象となるオブジェクト、認証情報及びアクセスチケットを記憶する。記憶部２３に記憶された認証情報は、第２サービスサーバ２０へログインするクライアント装置３０のユーザを認証するための情報である。記憶部２３に記憶されたアクセスチケットは、第１サービスサーバ１０により発行されたアクセスチケットである。

図５は、クライアント装置３０のハードウェア構成を示すブロック図である。図５に示すように、クライアント装置３０は、制御部３１と、通信部３２と、記憶部３３と、ユーザインタフェース部３４とを備える。
制御部３１は、演算処理装置としてのＣＰＵ、ＲＯＭ及びＲＡＭを備えたマイクロコンピュータである。ＣＰＵは、ＲＯＭに記憶されたプログラムをＲＡＭに読み出して実行することにより、クライアント装置３０の各部を制御する。通信部３２は、例えばモデムを備え、通信回線ＮＷに接続して通信する。記憶部３３は、ハードディスク装置等の記憶装置を備え、ユーザＩＤと、第１サービスサーバ１０用の認証情報と、第２サービスサーバ２０用の認証情報とを記憶する。ユーザインタフェース部３４は、ユーザにより操作される操作部（例えば物理キーやタッチスクリーン）と、画像を表示する表示部（例えば液晶ディスプレイ）とを備える。

図６は、アクセス管理システム１の機能構成を示すブロック図である。図６には、アクセスチケットに関する機能ブロックが示されている。図６に示すように、第１サービスサーバ１０の制御部１１は、プログラムを実行することにより、発行部１０１と、操作設定部１０２と、受付部１０３と、操作制御部１０４と、実行部１０５と、無効化部１０６と、通知処理部１０７とに相当する機能を実現する。
発行部１０１は、本発明の発行手段の一例で、アクセスチケットを発行する。発行部１０１は、第１サービスサーバ１０及び第２サービスサーバ２０において認証されたユーザに対して、アクセスチケットを発行する。発行部１０１が発行したアクセスチケットは、第２サービスサーバ２０に送信される。また、発行部１０１は、発行したアクセスチケットに関する情報を、アクセスチケット記憶部１３３に記憶させる（即ち登録する）。
操作設定部１０２は、本発明の設定手段の一例で、発行部１０１によりアクセスチケットが発行されたときに、当該アクセスチケットに対応して許可する操作を設定する。操作設定部１０２は、設定した操作を示す許可操作情報を、アクセスチケット記憶部１３３に記憶させる。

受付部１０３は、本発明の受付手段の一例で、アクセスチケットと関連づけて、オブジェクトに対する操作を受け付ける。具体的に、クライアント装置３０の操作要求部３０１は、オブジェクトに対する操作を、第２サービスサーバ２０に対して要求する。この要求に応じて、第２サービスサーバ２０の操作要求部２０１は、クライアント装置３０のユーザに発行されたアクセスチケットを用いて、第１サービスサーバ１０に対して操作を要求する。受付部１０３は、操作要求部２０１により要求された操作を受け付ける。

操作制御部１０４は、本発明の操作制御手段の一例で、受付部１０３が受け付けた操作の可否を制御する。操作制御部１０４は、アクセスチケット記憶部１３３に基づいて、受付部１０３が受け付けた操作に関連づけられたアクセスチケットが有効か又は無効かを判定し、また、受付部１０３が受け付けた操作が、許可操作情報が示す操作に合致するか否かを判定する。操作制御部１０４は、アクセスチケットが有効なとき、許可操作情報が示す操作（本発明の第１の操作の一例）を許可する。操作制御部１０４は、アクセスチケットが無効なときの許可操作情報が示す操作と、許可操作情報が示す操作と異なる操作（本発明の第２の一例）を拒否する。

実行部１０５は、本発明の実行手段の一例で、操作制御部１０４により操作が許可された場合には、オブジェクト記憶部１３２にアクセスして、当該操作に従ってオブジェクトに対する情報処理を行う。他方、実行部１０５は、操作制御部１０４により操作が拒否された場合、オブジェクトに対する情報処理を行わない。

無効化部１０６は、本発明の無効化手段の一例で、アクセスチケットが有効であるときの操作が拒否された場合に、当該アクセスチケットを無効化する。無効化部１０６は、アクセスチケット記憶部１３３に基づいて、許可操作情報が示す操作が拒否された場合、当該操作に関連づけられたアクセスチケットを無効化する。
なお、アクセスチケットが既に無効化されている場合は、無効化部１０６は、アクセスチケットの無効化を行わなくてよい。

通知処理部１０７は、本発明の通知処理手段の一例で、アクセスチケットが無効化された場合、当該アクセスチケットと関連づけられた操作を行うユーザに対して通知処理を行う。通知処理部１０７は、ユーザ情報記憶部１３１に基づいて、アクセスチケットを無効化したユーザのクライアント装置３０のメールアドレスを特定し、無効化した旨のメッセージを記述した電子メールを送信する。

図７は、アクセス管理システム１のアクセスチケットの発行時の動作を示すシーケンス図である。
まず、クライアント装置３０の制御部３１は、通信部３２を介してアクセスチケット発行要求を第２サービスサーバ２０へ送信する（ステップＳ１）。このアクセスチケット発行要求は、ユーザＩＤと、第１サービスサーバ１０用の認証情報と、第２サービスサーバ２０用の認証情報とを含む。

次に、第２サービスサーバ２０の制御部２１は、通信部２２を介してアクセスチケット発行要求を受け付けると、クライアント装置３０のユーザを認証する処理を行う（ステップＳ２）。ここでは、制御部２１は、アクセスチケット発行要求に含まれる第２サービスサーバ２０用の認証情報と、記憶部２３に記憶された認証情報とを照合する。認証に成功した場合、制御部２１は、通信部２２を介して、アクセスチケット発行要求を第１サービスサーバ１０へ送信する（ステップＳ３）。このアクセスチケット発行要求は、ユーザＩＤと、第１サービスサーバ１０用の認証情報とを含む。
なお、認証に失敗した場合は、制御部２１はステップＳ３の処理を行わない。

次に、第１サービスサーバ１０の制御部１１は、通信部１２を介してアクセスチケット発行要求を受け付けると、クライアント装置３０のユーザを認証する処理を行う（ステップＳ４）。ここでは、制御部１１は、アクセスチケット発行要求に含まれる第１サービスサーバ１０用の認証情報と、ユーザ情報記憶部１３１に記憶されたユーザ毎のパスワードとを照合する。認証に成功した場合、制御部１１は、認証に成功したユーザに対して、アクセスチケットを発行する（ステップＳ５）。アクセスチケットを発行すると、制御部１１は、発行したアクセスチケットのアクセスチケットＩＤと、ユーザＩＤとを対応付けてアクセスチケット記憶部１３３に記憶させる。また、制御部１１は、アクセスチケットを「有効」にしておく。
なお、認証に失敗した場合は、制御部１１はステップＳ５の処理を行わない。

次に、制御部１１は、発行したアクセスチケットを、通信部１２を介して第２サービスサーバ２０へ送信する（ステップＳ６）。第２サービスサーバ２０の制御部２１は、通信部２２を介して受信したアクセスチケットを、発行したユーザ（ユーザＩＤ）を特定可能な形式で記憶部２３に記憶させる（ステップＳ７）。

次に、第１サービスサーバ１０の制御部１１は、操作設定要求を、通信部１２を介してクライアント装置３０へ送信する（ステップＳ８）。操作設定要求は、発行されたアクセスチケットにより許可される操作を設定する旨の要求である。第１サービスサーバ１０は、例えば、第２サービスサーバ２０を介して操作設定要求をクライアント装置３０へ送信するが、クライアント装置３０に対して直接に送信してもよい。
第１サービスサーバ１０の制御部１１は、ユーザインタフェース部３４を用いて、許可する操作を指定するユーザの操作を受け付ける。そして、制御部１１は、指定された許可する操作を示す設定データを、通信部３２を介して第１サービスサーバ１０へ送信する（ステップＳ９）。制御部１１は、クライアント装置３０から受け付けた設定データが示す操作に従って、許可する操作を設定する（ステップＳ１０）。制御部１１は、ここでは、「FolID-1の子オブジェクトの一覧表示」及び「FolID-1の子オブジェクトを追加」という操作を示す許可操作情報を、アクセスチケット記憶部１３３に記憶させる（図３（ｃ）参照）。
なお、許可する操作を設定するための設定データは、アクセスチケット要求に含まれていてもよく、許可する操作の設定のタイミングは特に問わないものとする。

図８は、アクセス管理システム１のオブジェクトの操作時の動作を示すシーケンス図である。
まず、クライアント装置３０の制御部３１は、通信部３２を介して操作要求を第２サービスサーバ２０へ送信する（ステップＳ１１）。この操作要求は、ユーザＩＤと、第２サービスサーバ２０用の認証情報と、要求する操作を示す操作情報とを含む。
なお、クライアント装置３０が送信する操作要求は、ここでは、クライアント装置３０のユーザの手動操作を介さずに、事前に設定された規則に従って送信される。

次に、第２サービスサーバ２０の制御部２１は、通信部２２を介して操作要求を受け付けると、クライアント装置３０のユーザを認証する処理を行う（ステップＳ１２）。制御部２１は、操作要求に含まれる第２サービスサーバ２０用の認証情報と、記憶部２３に記憶された認証情報とを照合する。認証に成功した場合、制御部２１は、クライアント装置３０から受け付けた操作要求を、当該操作要求に含まれるユーザＩＤのユーザに発行されたアクセスチケットと関連づけて、通信部２２を介して第１サービスサーバ１０へ送信する（ステップＳ１３）。図８には示していないが、制御部２１は、オブジェクトの同期のための操作が要求されていた場合は、当該操作に従ってオブジェクトに対する情報処理を行う。
なお、認証に失敗した場合は、制御部２１はステップＳ１３の処理を行わない。また、ステップＳ１３で送信される操作要求には、第２サービスサーバ２０へログインするための認証情報が含まれなくてもよい。

次に、第１サービスサーバ１０の制御部１１は、通信部１２を介して操作要求を受け付けると（ステップＳ１４）、アクセスチケット記憶部１３３に基づいて、操作要求に含まれるアクセスチケットが有効か否かを判定する（ステップＳ１５）。
ここで、アクセスチケットが無効と判定した場合（ステップＳ１５；ＮＯ）、制御部１１は、操作要求で要求された操作を拒否し、オブジェクトに対する情報処理を実行しない。アクセスチケットが有効と判定した場合（ステップＳ１５；ＹＥＳ）、制御部１１は、ステップＳ１６の処理に進める。

次に、制御部１１は、要求された操作が、アクセスチケット記憶部１３３に記憶された許可操作情報が示す許可する操作に合致するかどうかを判定する（ステップＳ１６）。ここで、要求された操作が、許可する操作に合致すると判定した場合（ステップＳ１６；ＹＥＳ）、制御部１１は、操作要求で要求された操作を許可し、許可した操作に従ってオブジェクトに対する情報処理を行う（ステップＳ１７）。例えば、制御部１１は、図９（ａ）の第４行のレコードで示すように、オブジェクトＩＤ「DocID-4」のオブジェクトを、オブジェクトＩＤ「FoldID-1」を親オブジェクトとして、オブジェクト記憶部１３２に記憶させる。

ここで、要求された操作が、許可する操作に合致しないと判定した場合（ステップＳ１６；ＮＯ）、制御部１１は、操作要求で要求された操作を拒否し、オブジェクトに対する情報処理を実行しない（ステップＳ１８）。更に、制御部１１は、操作要求に含まれていたアクセスチケットを無効化する（ステップＳ１９）。制御部１１は、例えば、図９（ｂ）に示すように、アクセスチケット記憶部１３３において、アクセスチケットＩＤ「TikID-A」のアクセスチケットを、「有効」から「無効」に変更する。アクセスチケットを無効化する処理は、当該アクセスチケットを使用し得ないようにする処理であればよい。例えば、制御部１１は、通信部１２を介して、第２サービスサーバ２０に対してアクセスチケットを削除する旨を指示してもよい。第２サービスサーバ２０の制御部２１は、この削除する旨の指示を受け付けた場合は、記憶部２３からアクセスチケットを削除する。

次に、制御部１１は、アクセスチケットを無効化した旨を、当該アクセスチケットを発行したユーザのクライアント装置３０へ通知する通知処理を行う（ステップＳ２０）。制御部１１は、ユーザ情報記憶部１３１に基づいて、アクセスチケットを無効化したユーザのクライアント装置３０のメールアドレスを特定し、特定したメールアドレスを用いて、無効化した旨のメッセージを含む電子メールを送信する。クライアント装置３０の制御部３１は、電子メールを受信すると、受信した電子メールを、ユーザインタフェース部３４を用いて表示させて、ユーザに対してアクセスチケットが無効になった旨を通知する。

以上説明した第１実施形態のアクセス管理システム１によれば、アクセスチケットが有効な場合であっても、アクセスチケットの発行時に設定された許可する操作と異なる操作を受け付けたときは、不正なものとして当該操作を拒否し、更に、アクセスチケットを無効化する。この場合、アクセス管理システム１では、アクセスチケットを用いて行われた操作の要求が、正当な権限を有する者による要求でないとみなされる。クライアント装置３０が設定した操作と異なる操作を要求した場合、第三者にアクセスチケットが漏洩し、この第三者によって不正にオブジェクトが操作される可能性が考えられるからである。この漏洩があったとしても、アクセス管理システム１では、操作が拒否されたことを条件にアクセスチケットが無効化されるので、クセスチケットを不正に用いた操作が繰り返し許可されることが抑制される。
また、第１サービスサーバ１０及び第２サービスサーバ２０でユーザの認証に成功した場合であっても、アクセスチケットが無効化されるので、クライアント装置３０が不正に第三者に使用された場合であっても、アクセスチケットを不正に用いた操作が拒否される。
また、アクセス管理システム１では、アクセスチケットの発行時に、許可する操作は設定されるので、許可する操作は正当なユーザにより設定されているとみなして差し支えない。

［第２実施形態］
次に、本発明の第２実施形態を説明する。
上述した第１実施形態のアクセス管理システム１では、許可する操作がクライアント装置３０により設定されていたが、本実施形態では、許可する操作の事前の設定が行われない。以下の説明において、第１実施形態と同じ要素については同じ符号を付して表し、その説明を省略し又は簡略化する。
本実施形態の第１サービスサーバ１０のハードウェア構成は、大略、上述した第１実施形態と同じであるが、アクセスチケット記憶部１３３に代えてアクセスチケット記憶部１３３ａを備える点と、操作履歴記憶部１３４とを備える点で、上述した第１実施形態と相違する。

図１０は、第１サービスサーバ１０が記憶するデータを説明する図である。図１０（ａ）はアクセスチケット記憶部１３３ａが記憶するデータ、図１０（ｂ）は操作履歴記憶部１３４が記憶するデータを示す。
図１０（ａ）に示すように、アクセスチケット記憶部１３３ａは、発行されたアクセスチケット毎に、アクセスチケットＩＤと、発行ユーザと、操作記録期間と、有効／無効との各情報を対応付けて記憶する。アクセスチケットＩＤ、発行ユーザ及び有効／無効の各情報は、上述した第１実施形態と同じである。操作記録期間は、第１サービスサーバ１０が受け付けた操作の履歴を記録する期間である。操作記録期間は、ここでは、アクセスチケットの発行時を起点とした、操作記録期間の終点を示す情報によって特定される。

図１０（ｂ）に示すように、操作履歴記憶部１３４は、受け付けた操作毎に、操作履歴ＩＤと、操作日時と、操作者と、アクセスチケットＩＤと、操作対象親オブジェクトと、操作対象子オブジェクトと、操作内容の各情報を対応付けて記憶する。操作履歴ＩＤは、受け付けた操作の履歴を一意に識別する識別子である。操作日時は、操作を受け付けた日時である。アクセスチケットＩＤは、操作に用いられたアクセスチケットのアクセスチケットＩＤである。操作対象親オブジェクトは、操作対象となった親オブジェクトのオブジェクトＩＤである。操作対象子オブジェクトは、操作対象となった子オブジェクトのオブジェクトＩＤである。操作内容は、受け付けた操作の内容を示す。
第２サービスサーバ２０及びクライアント装置３０のハードウェア構成及び記憶するデータは上述した第１実施形態と同じでよい。

図１１は、アクセス管理システム１の機能構成を示すブロック図である。図１１には、アクセスチケットに関する機能を実現させる機能ブロックが示されている。図１１に示すように、第１サービスサーバ１０の制御部１１は、プログラムを実行することにより、発行部１０１と、操作記録期間設定部１０８と、受付部１０３と、記録部１０９と、操作制御部１０４ａと、実行部１０５と、無効化部１０６と、通知処理部１０７とに相当する機能を実現する。発行部１０１、受付部１０３，実行部１０５、無効化部１０６及び通知処理部１０７の各機能ブロックは、上述した第１実施形態と同じ機能を実現する。

操作記録期間設定部１０８は、本発明の設定手段の一例で、アクセスチケットが発行されたときに、当該アクセスチケットに対応した操作記録期間（本発明の記録期間の一例）を設定する。操作記録期間設定部１０８は、設定した操作記録期間の情報を、アクセスチケット記憶部１３３ａに記憶させる。
記録部１０９は、本発明の記録手段の一例で、操作録期間内に受け付けた操作の履歴を、操作履歴記憶部１３４に記録する。
操作制御部１０４ａは、本発明の操作制御手段の一例で、操作記録期間内に受け付けられた操作のうち、アクセスチケットが有効なときの操作を許可し、アクセスチケットが無効なときの操作を拒否する。更に、操作制御部１０４ａは、操作記録期間外に受け付けられた操作のうち、アクセスチケットが有効で且つ操作履歴記憶部１３４に記録された操作の履歴によって特定される操作に合致する操作（本発明の第２の操作の一例）を許可し、操作の履歴によって特定される操作に合致しない操作と、アクセスチケットが無効なときの操作を拒否する。ここにおいて、操作制御部１０４ａは、操作の履歴に基づいて、規則的に行われる操作を示す操作パターンを特定し、特定した操作パターンに合致しない操作を拒否する。操作パターンは、例えば、受け付けた操作の内容（例えば、複数の操作の順番や操作間の時間）及び操作日時によって特定される。

図１２は、アクセス管理システム１のアクセスチケットの発行時の動作を示すシーケンス図である。図１２に示すように、アクセスチケットの発行時の動作は、大略、上述した第１実施形態であるが、ステップＳ８〜Ｓ１０に相当する処理が行われない。これに代えて、第１サービスサーバ１０の制御部１１は、ステップＳ５でアクセスチケットを発行すると、操作記録期間を設定する（ステップＳ２１）。操作記録期間は、デフォルトの長さで設定されてもよいし、クライアント装置３０で設定されてもよい。

図１３は、アクセス管理システム１のオブジェクトの操作時の動作を示すシーケンス図である。
まず、クライアント装置３０の制御部３１は、通信部３２を介して操作要求を第２サービスサーバ２０へ送信する（ステップＳ２２）。この操作要求は、ユーザＩＤと、第１サービスサーバ１０にログインするための認証情報と、要求する操作を示す操作情報とを含む。次に、第２サービスサーバ２０の制御部２１は、通信部２２を介して操作要求を受け付けると、クライアント装置３０のユーザを認証する処理を行う（ステップＳ２３）。制御部２１は、操作要求に含まれる第２サービスサーバ２０用の認証情報と、記憶部２３に記憶された認証情報とを照合する。認証に成功した場合、制御部２１は、クライアント装置３０から受け付けた操作要求を、当該操作要求に含まれるユーザＩＤのユーザに発行されたアクセスチケットと関連づけて、通信部２２を介して第１サービスサーバ１０へ送信する（ステップＳ２４）。図１３には示していないが、制御部２１は、オブジェクトの同期のための操作が要求されていた場合は、当該操作に従ってオブジェクトに対する情報処理を行う。
なお、認証に失敗した場合は、制御部２１はステップＳ２４の処理を行わない。また、ステップＳ２４で送信される操作要求に、第２サービスサーバ２０へログインするための認証情報が含まれなくてもよい。

次に、第１サービスサーバ１０の制御部１１は、通信部１２を介して操作要求を受け付けると（ステップＳ２５）、アクセスチケット記憶部１３３ａに基づいて、操作要求に含まれるアクセスチケットが有効か否かを判定する（ステップＳ２６）。ここで、アクセスチケットが無効と判定した場合（ステップＳ２６；ＮＯ）、制御部１１は、操作要求で要求された操作を拒否し、オブジェクトに対する情報処理を実行しない。アクセスチケットが有効と判定した場合（ステップＳ２６；ＹＥＳ）、制御部１１は、ステップＳ２７の処理に進める。

次に、制御部１１は、操作記録期間内か否かを判定する（ステップＳ２７）。制御部１１は、アクセスチケット記憶部１３３ａに基づいて、操作記録期間内と判定した場合（ステップＳ２７；ＹＥＳ）、受け付けた操作の履歴を、操作履歴記憶部１３４に記録する（ステップＳ２８）。そして、制御部１１は、操作要求で要求された操作を許可し、操作に従ったオブジェクトに対する情報処理を行う（ステップＳ２９）。

ここで、第１サービスサーバ１０が、操作日時「2014-02-01 15:00:00」に、操作情報「FolID-1の子オブジェクトの一覧表示」の操作要求を受け付け、操作日時「2014-02-01 15:00:05」に、「FolID-1の子オブジェクトを追加」の操作要求を受け付けた場合を考える。これらの操作要求を受け付けた場合、制御部１１は、操作日時が操作記録期間内であるから、要求された操作を許可する。そして、制御部１１は、図１５（ａ）に示すように、前者の操作の履歴を操作履歴ＩＤ「EveID-4」とし、後者の操作の履歴を操作履歴ＩＤ「EveID-5」として、操作履歴記憶部１３４に記憶させる。そして、制御部１１は、要求された操作に応じて、図１５（ｂ）の第４行のレコードで示すように、オブジェクトＩＤ「DocID-4」のオブジェクトを、オブジェクトＩＤ「FoldID-1」を親オブジェクトとしてオブジェクト記憶部１３２に記憶させる。

次に、第１サービスサーバ１０が、操作日時「2014-02-01 16:00:00」に、操作情報「FolID-1の子オブジェクトの一覧表示」の操作要求を受け付けた場合を考える。この操作要求を受け付けた場合、制御部１１は、操作日時が操作記録期間内であるから、要求された操作を許可する。この場合、制御部１１は、図１６（ａ）に示すように、操作の履歴を操作履歴ＩＤ「EveID-6」として、操作履歴記憶部１３４に記憶させる。そして、制御部１１は、操作要求で要求された操作に応じて、オブジェクトＩＤ「FoldID-1」の親オブジェクトの子オブジェクトの一覧表示を行う。図１６（ｂ）に示すように、ここではオブジェクト記憶部１３２に変化はない。

次に、第１サービスサーバ１０が、操作日時「2014-02-01 17:00:00」に、操作情報「FolID-1の子オブジェクトの一覧表示」の操作要求を受け付け、操作日時「2014-02-01 17:00:05」に「FolID-1の子オブジェクトを追加」の操作要求を受け付け、操作日時「2014-02-01 17:00:10」に「FolID-1の子オブジェクトを追加」の操作要求を受け付けた場合を考える。これらの操作要求を受け付けた場合、制御部１１は、操作日時が操作記録期間内であるから、要求された操作を許可する。制御部１１は、図１７に示すように、１番目の操作の履歴を操作履歴ＩＤ「EveID-7」とし、２番目の操作の履歴を操作履歴ＩＤ「EveID-8」とし、３番目の操作の履歴を操作履歴ＩＤ「EveID-9」として、操作履歴記憶部１３４に記憶させる。そして、制御部１１は、操作要求で要求された操作に応じて、図１８の第５行のレコードで示すように、オブジェクトＩＤ「DocID-5」のオブジェクトを、オブジェクトＩＤ「FoldID-1」を親オブジェクトとしてオブジェクト記憶部１３２に記憶させる情報処理を行い、オブジェクトＩＤ「DocID-6」のオブジェクトを、オブジェクトＩＤ「FoldID-1」を親オブジェクトとしてオブジェクト記憶部１３２に記憶させる。

次に、第１サービスサーバ１０が、操作日時「2014-02-01 18:00:00」に、操作情報「FolID-1の子オブジェクトの一覧表示」の操作要求を受け付けた場合を考える。この操作要求を受け付けた場合、制御部１１は、操作日時が操作記録期間外であるから、ステップＳ２７（図１３参照）で「ＮＯ」と判定する。操作記録期間外と判定した場合、制御部１１は、操作履歴記憶部１３４に記憶された操作履歴で特定される操作パターンに、要求された操作が合致するかどうかを判定する（図１４のステップＳ３０）。図１７に示すように、操作履歴記憶部１３４に記憶された操作履歴により、操作記録期間内の操作パターンとして、「約１時間間隔で「FolID-1の子オブジェクトの一覧表示」の操作が要求されている」という操作パターンと、「「FolID-1の子オブジェクトの一覧表示」の操作が要求された後の数秒後に、「FolID-1の子オブジェクトの追加」の操作が要求される」という操作パターンとが特定される。制御部１１は、これらの特定した操作パターンに合致するかどうかを判定する。
なお、操作パターンにおいて、特定の操作が行われる時間間隔や、或る操作から次の操作までの時間については、或る程度の誤差が生じてもよいように、一定の誤差範囲を設けることが望ましい。

ここで、第１サービスサーバ１０が、操作日時「2014-02-01 18:00:00」に、操作情報「FolID-1の子オブジェクトの一覧表示」の操作要求を受け付けた場合を考える。この場合、制御部１１は、「約１時間間隔で「FolID-1の子オブジェクトの一覧表示」の操作が要求されている」という操作パターンに合致すると判定する。この場合、制御部１１は、ステップＳ３０で「ＹＥＳ」と判定し、操作要求で要求された操作を許可して、操作要求に従ったオブジェクトに対する情報処理を行う（ステップＳ３１）。この場合、制御部１１は、図１９に示すように、操作履歴ＩＤ「EveID-10」として操作履歴を、操作履歴記憶部１３４に記憶させる。そして、制御部１１は、操作要求で要求された操作を許可し、オブジェクトＩＤ「FoldID-1」の親オブジェクトの子オブジェクトの一覧表示を行う。図１６（ｂ）に示すように、ここではオブジェクト記憶部１３２に変化はない。

次に、第１サービスサーバ１０が、操作日時「2014-02-01 18:38:34」に、操作情報「FolID-1の子オブジェクトの一覧表示」の操作要求を受け付けた場合を考える。この場合、制御部１１は、「約１時間間隔で「FolID-1の子オブジェクトの一覧表示」の操作が要求されている」という操作パターンと、「「FolID-1の子オブジェクトの一覧表示」の操作が要求された後の数秒後に、「FolID-1の子オブジェクトの追加」の操作が要求される」という操作パターンのいずれにも合致しない操作を受け付けたと判定する。この場合、制御部１１は、ステップＳ３０で「ＮＯ」と判定し、操作要求で要求された操作を拒否し、オブジェクトに対する情報処理を実行しない（ステップＳ３２）。更に、制御部１１は、操作要求に含まれていたアクセスチケットを無効化する（ステップＳ３３）。制御部１１は、図２０に示すように、アクセスチケット記憶部１３３ａに基づいて、アクセスチケットＩＤ「TikID-A」に対応するアクセスチケットを、「有効」から「無効」に変更する。アクセスチケットを無効化する処理は、上述した第１実施形態と同じく、アクセスチケットを使用し得ないようにする処理であればよい。
そして、制御部１１は、アクセスチケットを無効化した旨を、当該アクセスチケットを発行したユーザのクライアント装置３０へ通知する通知処理を行う（ステップＳ３４）。

以上説明した第２実施形態のアクセス管理システム１によれば、アクセスチケットが有効な場合であっても、操作記録外に受け付けた操作が、操作記録期間内の操作パターンに合致しないときは、不正なものとして当該操作を拒否し、更に、アクセスチケットを無効化する。この場合、アクセス管理システム１では、アクセスチケットを用いて行われた操作の要求が、正当な権限を有する者による要求でないとみなされる。本来であれば規則的な操作が行われるのにも関わらず、それとは合致しない操作が行われた場合、第三者にアクセスチケットが漏洩し、この第三者によってアクセスチケットが不正に使用されて、オブジェクトに対する操作が行われている可能性があるからである。この漏洩があったとしても、アクセス管理システム１では、操作が拒否されたことを条件にアクセスチケットが無効化されるので、アクセスチケットを不正に用いた操作が繰り返し許可されることが抑制される。
また、上述した第１実施形態と同じく、第１サービスサーバ１０及び第２サービスサーバ２０においてユーザの認証に成功した場合であっても、アクセスチケットは無効化されるので、クライアント装置３０が不正に第三者に使用された場合であっても、アクセスチケットを不正に用いた操作が拒否される。
更に、本実施形態のアクセス管理システム１では、アクセスチケットの発行時に操作記録期間が設定されるので、操作記録期間内に受け付けた操作は正当なユーザにより行われているとみなして差し支えない。

［変形例］
本発明は、上述した実施形態と異なる形態で実施してもよい。また、以下に示す変形例は、各々を組み合わせてもよい。
（変形例１）
上述した各実施形態では、第１サービスサーバ１０は、ユーザ毎に、アクセスチケットに関連づいた操作の可否の制御、及び、アクセスチケットの無効化を行っていた。しかし、第１サービスサーバ１０と第２サービスサーバ２０との間の通信経路等から、アクセスチケットが漏洩する可能性も考えられる。この場合のアクセスチケットの漏洩による被害を軽減するために、以下で説明する制御を行ってもよい。この変形例において、第１サービスサーバ１０は、発行したアクセスチケットの送信先の装置（ここでは第２サービスサーバ２０）の情報を、例えばアクセスチケット記憶部１３３又は１３３ａに記憶させておく。

ここで、図２１（ａ）に示すように、ユーザＩＤ「UID-A」及びユーザＩＤ「UID-B」のユーザのアクセスチケットがともに有効である場合に、ユーザＩＤ「UID-A」のユーザのクライアント装置３０から受け付けた操作が拒否された場合を考える。この場合、制御部１１は、ユーザＩＤ「UID-A」を使用するクライアント装置３０Ａのアクセスチケットだけではなく、第２サービスサーバ２０に記憶された他の全てのアクセスチケットを無効化する。即ち、制御部１１は、ユーザＩＤ「UID-A」のユーザに発行されたアクセスチケットだけではなく、ユーザＩＤ「UID-B」のユーザに発行されたアクセスチケットを無効化する。これにより、仮に、第２サービスサーバ２０を原因としてアクセスチケットが漏洩した場合であっても、複数のユーザのアクセスチケットが不正に使用される可能性が低くなる。

この変形例において、第１サービスサーバ１０は、１のユーザのアクセスチケットを無効化したことを条件に、第２サービスサーバ２０で管理される他の全てのアクセスチケットを無効化してもよいが、２以上の決められた数のユーザのアクセスチケットを無効化したことを条件に、第２サービスサーバ２０で管理される他の全てのアクセスチケットを無効化してもよい。これにより、第２サービスサーバ２０からアクセスチケットが漏洩した可能性が高いと推測される場合に、第２サービスサーバ２０が記憶する全てのアクセスチケットが無効化される。

（変形例２）
上述した第１実施形態では、第１サービスサーバ１０は、許可する操作（本発明の第１の操作の一例）を設定していたが、拒否する操作（本発明の第２の操作の一例）を設定してもよい。この場合、第１サービスサーバ１０は、アクセスチケットが有効なときには、設定した拒否する操作に合致する操作を拒否し、その他の操作を許可する。

（変形例３）
上述した各実施形態で説明した構成又は動作の一部が省略されてもよい。
第１サービスサーバ１０は、アクセスチケットを無効化する構成を有しなくとも、クライアント装置３０から受け付けた操作のうち、アクセスチケットが有効なときの第１の操作を許可し、アクセスチケットが無効なときの前記第１の操作と、前記第１の操作と異なる第２の操作を拒否する制御を行うことにより、不正な操作が拒否される。

また、第１サービスサーバ１０は、アクセスチケットを無効化した場合の通知処理を行わないようにしてもよい。また、ユーザを認証する処理の一部が省略されてもよい。また、アクセスチケットを発行する装置は、第１サービスサーバ１０以外の装置、例えば、アクセスチケットの発行を専門的に行うサーバ装置であってもよい。
また、各シーケンス図を参照して説明したアクセス管理システム１で実行される処理の順番が変更されてもよい。第１サービスサーバ１０は、例えば、アクセスチケットを発行したとき以外のタイミングで、許可する操作や操作記録期間を設定してもよい。
また、上述した実施形態の実行部１０５に相当する機能は、第１サービスサーバ１０以外の装置により実現されてもよい。即ち、本発明の情報処理装置は、操作要求に応じた情報処理を実行する装置とは別の装置により実現されてもよい。

（変形例４）
上述した各実施形態では、規則的に行われる操作が行われることを想定していたが、この例に限られない。例えば、上述した第１実施形態のアクセス管理システム１では、許可する操作を予め設定おけばよく、規則性のない操作であってもその操作が不正なものであるかどうかを判断し得る。
また、上述した第２実施形態の操作履歴によって特定される操作は、複数の操作により特定された操作パターンに限られない。例えば、操作履歴によって特定される操作は、操作を行ったクライアント装置３０に割り当てられた通信アドレス（例えばＩＰアドレス）により特定されてもよい。

（変形例５）
また、第１サービスサーバ１０が行う情報処理は、クライアント装置３０のデータをアップロードするサービスに係るものでなくてもよい。第１サービスサーバ１０が行う情報処理は、例えば、サーバ装置からデータをダウンロードするサービスに係るものであってもよいし、所定のプログラムをサーバ装置に実行させて、その処理結果をクライアント装置が取得するサービスに係るものであってもよい。

（変形例６）
上述した各実施形態の第１サービスサーバ１０の制御部１１、第２サービスサーバ２０の制御部２１及びクライアント装置３０の制御部３１が実現する各機能は、それぞれ、１又は複数のハードウェア回路により実現されてもよいし、１又は複数のプログラムを実行することにより実現されてもよいし、これらの組み合わせにより実現されてもよい。制御部１１，２１，３１の機能がプログラムを用いて実現される場合、このプログラムは、磁気記録媒体（磁気テープ、磁気ディスク（ＨＤＤ（Hard Disk Drive）、ＦＤ（Flexible Disk））等）、光記録媒体（光ディスク等）、光磁気記録媒体、半導体メモリ等のコンピュータ読取可能な記録媒体に記憶した状態で提供されてもよいし、ネットワークを介して配信されてもよい。

１…アクセス管理システム、１０…第１サービスサーバ、１０１…発行部、１０２…操作設定部、１０３…受付部、１０４，１０４ａ…操作制御部、１０５…実行部、１０６…無効化部、１０７…通知処理部、１０８…操作記録期間設定部、１１，２１，３１…制御部、１２，２２，３２…通信部、１３１…ユーザ情報記憶部、１３２…オブジェクト記憶部、１３３，１３３ａ…アクセスチケット記憶部、１３４…操作履歴記憶部、２０…第２サービスサーバ、２０１，３０１…操作要求部、２３，３３…記憶部、３０…クライアント装置、３４…ユーザインタフェース部

Claims (9)

1. データに対する操作の権限を示す権限情報と関連づけて、前記操作を受け付ける受付手段と、
   受け付けられた前記操作のうち、前記権限情報が有効なときの第１の操作を許可し、前記権限情報が無効なときの前記第１の操作と、前記第１の操作と異なる第２の操作を拒否する制御を行う操作制御手段と
   を備える情報処理装置。
2. 前記第２の操作が拒否された場合、当該第２の操作に関連づけられた前記権限情報を無効化する無効化手段
   を備えることを特徴とする請求項１に記載の情報処理装置。
3. 前記権限情報を発行する発行手段と、
   前記権限情報が発行されたときに、当該権限情報に対応した前記第１の操作又は前記第２の操作を設定する設定手段と
   を備えることを特徴とする請求項１又は請求項２に記載の情報処理装置。
4. 受け付けられた前記操作の履歴を記録する記録期間内に、当該履歴を記録する記録手段を備え、
   前記操作制御手段は、
   前記記録期間外に受け付けられた前記操作のうち、記録された前記履歴によって特定される操作に合致しない操作を前記第２の操作として拒否する
   ことを特徴とする請求項１又は請求項２に記載の情報処理装置。
5. 前記権限情報を発行する発行手段と、
   前記権限情報が発行されたときに、当該権限情報に対応した前記記録期間を設定する設定手段と
   を備えることを特徴とする請求項４に記載の情報処理装置。
6. 前記操作制御手段は、
   受け付けられた前記操作を行ったユーザの認証に成功した場合であっても、前記第２の操作を拒否する
   ことを特徴とする請求項１から請求項５のいずれか１項に記載の情報処理装置。
7. 前記受付手段は、
   一の外部装置を介して複数のユーザが行った前記操作を受け付け、
   前記無効化手段は、
   前記外部装置を介して受け付けられた前記第２の操作が拒否された場合、前記複数のユーザに使用される前記権限情報を無効化する
   ことを特徴とする請求項２に記載の情報処理装置。
8. 前記権限情報が無効化された場合、当該権限情報を使用するユーザに対して通知処理を行う通知処理手段を備える
   ことを特徴とする請求項２又は請求項７に記載の情報処理装置。
9. コンピュータを、
   データに対する操作の権限を示す権限情報と関連づけて、前記操作を受け付ける受付手段と、
   受け付けられた前記操作のうち、前記権限情報が有効なときの第１の操作を許可し、前記権限情報が無効なときの前記第１の操作と、前記第１の操作と異なる第２の操作を拒否する制御を行う操作制御手段
   として機能させるためのプログラム。

Images