JP4882671B2 - アクセス制御方法及びアクセス制御システム並びにプログラム - Google Patents

Description

本発明は、アクセス制御方法及びアクセス制御システム並びにプログラムに関する。

コンピュータシステムにおいて、アクセス制御機能は、ＶＭ（Virtual Machine）、ＯＳ（Operating System）、ミドルウェア（MW; Middle Ware）、アプリケーションなどの様々なレベルで提供される最も基本的なセキュリティ機能である。このようなアクセス制御機能では、「誰にどのリソースをどのような権限で利用させるのか」を指定するアクセス制御ポリシーを予め設定しておき、リソースへのアクセス要求があった場合には、アクセス制御ポリシーに基づいてアクセス許可／不許可が判定される。

図１７は、従来のアクセス制御ポリシーの設定を示した図である。
管理者Ａ９０１は、アプリケーションＡ９１１について、アクセス制御ポリシーを設定する権限を有する。そして、アプリケーションＡ９１１を利用する利用者「ｔａｒｏ」９０３に関し、「ｔａｒｏはアクセス可」というアクセス制御ポリシー９３１を設定する。一方、管理者Ｂ９０２は、アプリケーションＡ９１２について、アクセス制御ポリシーを設定する権限を有する。そして、アプリケーションＢ９１２を利用する利用者「ｔａｒｏ」９０３に関し、アクセス制御ポリシー９３２を設定する。

このように、アクセス制御機能を実行する処理単位ごとに、それぞれ独立してアクセス制御ポリシーを設定することができる。
また、アプリケーションによっては、さらに細かい設定、たとえば、構造化文書の階層構造に応じてアクセス権限を設定できるようにしたいという要求もある。そこで、構造化文書の構成要素にアクセス権限を設定するだけでなく、表示形式や用途に応じて、きめ細かくアクセス権限を設定することが容易に行えるアクセス権限設定方法が提案されている（たとえば、特許文献１参照）。
特開２００３−２８１１４９号公報（図１）

しかし、従来のアクセス制御方法では、様々なレベルできめ細かくアクセス権限を設定することはできるが、管理者ごとにアクセス制御ポリシーが設定されるため、同じリソースへのアクセス権限に矛盾が生じることがあるという問題点があった。

図１７の例では、利用者「ｔａｒｏ」９０３のリソースＸ９２０へのアクセスについて、管理者Ａ９０１は、「リソースＸ９２０について、ｔａｒｏはアクセス可とする」というアクセス制御ポリシー９３１を設定し、管理者Ｂ９０２は、「リソースＸ９２０について、ｔａｒｏはアクセス不可とする」というアクセス制御ポリシー９３２を設定している。したがって、利用者「ｔａｒｏ」９０３は、アプリケーションＢ９１２からはリソースＸ９２０にアクセスできないが、アプリケーションＡ９１１からはアクセスできてしまうということになる。

このようなアクセス制御ポリシーの矛盾により、利用者「ｔａｒｏ」９０３は、管理者Ｂ９０２によってアクセスが不許可になっているリソースＸ９２０にアクセスが可能となるため、システムとしては大きなリスクを負うこととなる。

したがって、システム全体としてアクセス制御ポリシーを一貫させることがシステムのセキュリティを維持していく上で大変重要である。
本発明はこのような点に鑑みてなされたものであり、アクセス制御ポリシーの一貫性を維持・保証することが可能なアクセス制御方法及びアクセス制御システム並びにプログラムを提供することを目的とする。

本発明では上記課題を解決するために、コンピュータシステム上のリソースに対する、複数のユーザについての、ＯＳによるアクセス制御および複数のアプリケーション各々によるアクセス制御を、複数のユーザ各々に対し整合させるアクセス制御方法が提供される。このアクセス制御方法は、次のような処理を含む。

収集部は、ＯＳにおいて設定された、複数のユーザ各々についての、コンピュータシステム上でＯＳによってアクセス可能なリソースに対するアクセス制御情報である第１のアクセス制御情報を収集するとともに、複数のアプリケーション各々において設定された、複数のユーザ各々についての、コンピュータシステム上で複数のアプリケーション各々によってアクセス可能なリソースに対するアクセス制御情報である第２のアクセス制御情報を収集する。整合部は、収集された第１のアクセス制御情報および第２のアクセス制御情報を結合したアクセス制御結合情報から、リソースの包含関係に基づき、重複してアクセス制御が設定されたリソースを判別し、複数のユーザ各々について、アクセス制御結合情報内で重複してアクセス制御が設定されたリソースにつき、同一ユーザについてのアクセス制御の設定に矛盾が無いかを解析し、アクセス制御結合情報内でアクセス制御の設定に矛盾が検出されたときは、対処手順を規定した矛盾対処ポリシーに基づいてアクセス制御結合情報を修正して、アクセス判定マスタ情報として記憶部に保存する。アクセス判定部は、複数のユーザ各々よりリソースに対するアクセス要求があったときは、アクセス判定マスタ情報に基づき、リソースへのアクセスの許可または不許可を判定する。

また、上記の矛盾対処ポリシーは、矛盾が検出されたアクセス制御の設定のうちアクセスの許可または拒否のいずれかの設定を優先するように規定したポリシーと、矛盾が検出されたアクセス制御の設定のうち、ＯＳおよび複数のアプリケーションの中で優先度の高いものによるアクセス制御の設定を優先するように規定したポリシーと、のいずれかを含む。

上記のアクセス制御方法によれば、システム全体でアクセス制御の一貫性が保証される。

以下、本発明の実施の形態を図面を参照して説明する。まず、実施の形態に適用される発明の概念について説明し、その後、実施の形態の具体的な内容を説明する。
図１は、実施の形態に適用される発明の概念図である。

本発明に係るアクセス制御システムは、アクセス制御設定を管理する管理部１０と、所定の処理機能を備えて任意の処理を行うとともに、リソースへのアクセス制御を行う処理部２０とを有する。なお、処理部２０は、管理部１０のあるアクセス制御装置内に共存していても、アクセス制御システムを構成する他の装置にあってもよい。

管理部１０について説明する。
管理部１０は、アクセス制御情報（記憶手段）１１ａ、アクセス制御結合情報（記憶手段）１１ｂ、及びアクセス判定マスタ情報（記憶手段）１１ｃの記憶手段と、収集手段１２、結合手段１３、整合手段１４、及び配付手段１５の処理手段とを有する。各処理手段は、コンピュータがアクセス制御プログラムを実行することにより、その処理機能が実現される。

アクセス制御情報（記憶手段）１１ａは、送信手段２１ｂ，２２ｂによって送信され、収集手段１２が収集した処理単位で設定されたアクセス制御情報と、リソース情報とを記憶する。アクセス制御情報には、アクセスを制限する対象となる対象者（以下、主体とする）、アクセス対象のリソース、アクセス許可／不許可の設定などのアクセス制御設定（以下、アクセス制御ポリシーとも表記する）が定義されている。リソース情報は、システム情報としてＯＳ２１などが保有する情報で、保有するリソースの識別名、リソースの構成などが定義されている。詳細は後述する。

アクセス制御結合情報（記憶手段）１１ｂは、結合手段１３によって各処理単位ごとに設定されていたアクセス制御情報が結合されたアクセス制御結合情報を記憶する。アクセス制御結合情報は、収集手段１２によって収集されたアクセス制御情報を単に結合した情報で、含まれるアクセス制御設定の整合性は保証されない。また、リソース情報をリソースの包含関係に基づいて結合したリソース包含関係情報も格納する。

アクセス判定マスタ情報（記憶手段）１１ｃは、整合手段１４によって整合がとられたアクセス制御結合情報をシステムで共有するアクセス判定マスタ情報として記憶する。
収集手段１２は、各処理単位に対応して配置される送信手段２１ｂ，２２ｂから送信されたアクセス制御情報及びリソース情報を収集し、アクセス制御情報（記憶手段）１１ｂに格納する。なお、送信手段２１ｂ，２２ｂによらず、収集手段１２が直接アクセス制御情報及びリソース情報を読み出すとしてもよい。

結合手段１３は、アクセス制御情報（記憶手段）１１ａに格納される各処理単位から収集されたアクセス制御情報と、リソース情報とをそれぞれ結合する。結合手段１３は、各処理手段に個別に設定されているアクセス制御情報をまとめ、たとえば、アクセス制御情報に定義される主体名で並び替える。これにより、同じ主体について重複して定義されているアクセス制御設定を判別しやすくできる。結合手段１３では、アクセス制御情報を単に結合するのみであるので、アクセス制御結合情報に定義されるアクセス制御設定の整合性は保証されない。また、リソース情報を結合し、リソース包含関係情報を生成する。アクセス制御情報に定義されるアクセス制御の対象のリソースの識別名などは、処理単位に応じて異なることが多い。たとえば、ＯＳ２１でのデータベースの識別名と、データベースシステムで設定されるデータベース識別名とは、別々に設定されるので、異なることが多い。この場合、識別名で照合していたのでは、重複するリソースが見つけられない。さらに、アクセス制御情報の設定は、同一のリソースについての識別名が異なるばかりでなく、一方が指定するリソースが、他方に包含される場合もある。たとえば、リソースの指定が、データベースである場合と、そのデータベースに包含されるテーブルの場合とでは、リソースが重複することになる。したがって、リソース情報に基づき、システム全体のリソースの構成を把握し、その包含関係を解析しておく必要がある。生成されたアクセス制御結合情報及びリソース包含関係情報は、アクセス制御結合情報（記憶手段）１１ｂに格納される。

整合手段１４は、結合手段１３によって生成されたアクセス制御結合情報と、リソース包含関係情報とに基づき、アクセス制御結合情報に定義されるアクセス制御設定について、相反する設定が含まれていないかどうかを解析する。すなわち、同じ主体について、リソース包含関係に基づいて重複すると判断されるリソースに対して設定される複数のアクセス制御設定がないかどうかを検索し、検出された場合は、これら複数のアクセス制御設定の操作条件が矛盾していないかどうかを調べる。たとえば、一方が、リソースへの書き込み許可であるのに対し、他方が書き込み禁止としているなど、同種の操作に対する許可／不許可が矛盾する設定を探す。矛盾していれば、対処手順を規定した矛盾対処ポリシーに基づき、矛盾するアクセス制御設定のいずれかを修正し、全体の整合をとる。たとえば、矛盾するアクセス制御設定のいずれかを削除することにより、矛盾を解消する。このときの処理は、矛盾対処ポリシーに規定される対処手順に従う。矛盾対処ポリシーには、たとえば、「手動」「不許可を優先する」「許可を優先する」「アクセス制御情報が設定される処理単位に応じた優先順位に従う」など、矛盾を解消させるための対処手順が設定されている。矛盾が解消されたアクセス制御結合情報は、アクセス判定マスタ情報として、アクセス判定マスタ情報（記憶手段）１１ｃに格納する。

配付手段１５は、整合手段１４によって生成されたアクセス判定マスタ情報を、アクセス判定マスタ情報を共有し、このアクセス判定マスタ情報に基づいてリソースへのアクセス許可／不許可を判定する判定部２３に配付する。処理部２０が複数の装置に分散してある場合には、それぞれの処理部２０に設けられた判定部にアクセス判定マスタ情報を配付する。また、判定部２３が同一装置内にあり、判定部２３からアクセス判定マスタ情報（記憶手段）１１ｃを参照できる場合は、配付を行わなくてもよい。

次に、処理部２０について説明する。
処理部２０は、基本処理を行うＯＳ２１、汎用処理を行うアプリケーション２２、及びアクセスの許可／不許可を判定する判定部２３を有する。

ＯＳ２１及びアプリケーション２２は、アクセス制御情報（記憶手段）２１ａ，２２ａ、送信手段２１ｂ，２２ｂ、及びアクセス制御手段２１ｃ，２２ｃを有する。判定部２３は、アクセス判定マスタ情報（記憶手段）２３ａと、アクセス判定手段２３ｂとを有する。

アクセス制御情報（記憶手段）２１ａ，２２ａには、それぞれの処理単位（ＯＳ２１とアプリケーション２２）に対して設定されたアクセス制御情報が格納されている。送信手段２１ｂ，２２ｂは、それぞれのアクセス制御情報（記憶手段）２１ａ，２２ａに格納されるアクセス制御情報を管理部１０に送信する。送信手段２１ｂ，２２ｂは、エージェントとして送信処理を実行する。エージェントが、設定変更時などに、アクセス制御情報及びリソース情報を送信することによって、管理部１０側でアクセス制御情報及びリソース情報がどこに存在するのか、いつ更新されたのかなどを知らなくても、最新の情報を保有することが可能となる。

アクセス制御手段２１ｃ，２２ｃは、リソースへのアクセス要求があった場合に、そのアクセス要求の許可／不許可をアクセス判定手段２３ｂに問合せ、得られた判定結果に応じてアクセス制御を行う。なお、図の例では、ＯＳ２１のアクセス制御手段２１ｃは、ファイル管理を行うファイルシステム２１ｄからのアクセスを制御する。ＯＳ２１には、その他にも様々な処理機能があり、それぞれにアクセス制御手段が設定されている。

アクセス判定マスタ情報（記憶手段）２３ａは、管理部１０の配付手段１５によって配付されたアクセス判定マスタ情報を格納する。
アクセス判定手段２３ｂは、アクセス制御手段２１ｃ，２２ｃから、主体と対象リソースとを指定して行われた問合せに対し、アクセス判定マスタ情報に基づいてアクセスの許可／不許可を判定し、判定結果をアクセス制御手段２１ｃ，２２ｃに伝える。

このような構成のアクセス制御システムの動作について説明する。
アクセス制御情報（記憶手段）２１ａ，２２ａには、それぞれの管理者によって設定された「主体がリソースをどのような権限でアクセスするか」といったアクセス制御ポリシーを記述したアクセス制御情報が設定されている。アクセス制御情報（記憶手段）２１ａは、ＯＳ２１のファイルシステム２１ｄからリソースへのアクセスが発生する場合のアクセス制御情報が格納されており、アクセス制御情報（記憶手段）２２ａには、アプリケーション２２実行時にリソースへのアクセスが発生する場合のアクセス制御情報が格納されている。それぞれのアクセス制御情報（記憶手段）２１ａ，２２ａに対応する送信手段２１ｂ，２２ｂは、格納されるアクセス制御情報を読み出し、管理部１０の収集手段１２に送信する。送信手段２１ｂ，２２ｂは、同様に、リソースの構成を示すリソース情報も読み出し、収集手段１２に送信する。管理部１０の収集手段１２は、取得したアクセス制御情報及びリソース情報をアクセス制御情報（記憶手段）１１ａに格納する。こうして、システム内に分散配置されるすべてのアクセス制御情報とリソース情報が、管理部１０のアクセス制御情報（記憶手段）１１ａに集められる。

管理部１０では、収集したアクセス制御情報及びリソース情報に基づき、システム全体で一貫性のあるアクセス制御情報として、アクセス判定マスタ情報を生成する。
最初に、結合手段１３が、アクセス制御情報（記憶手段）１１ａに格納されるアクセス制御情報を結合し、アクセス制御結合情報を生成する。アクセス制御結合情報は、収集されたアクセス制御情報すべてを１つのファイルにまとめたものであり、個々のアクセス制御ポリシーの整合性は保証されない。たとえば、主体ごとに並べ替えておく。また、すべてのリソース情報を解析し、リソースの包含関係を示すリソース包含関係情報にまとめる。アクセス制御結合情報及びリソース包含関係情報は、アクセス制御結合情報（記憶手段）１１ｂに格納する。

次に、整合手段１４は、アクセス制御結合情報（記憶手段）１１ｂからアクセス制御結合情報とリソース包含関係情報とを読み出し、アクセス制御結合情報に定義されるアクセス制御設定に矛盾がないかどうかを解析する。同じ主体について、リソース包含関係に基づいて重複すると判断されるリソースに対して複数のアクセス制御設定が設定されているかどうかを検出し、それぞれのアクセス制御設定が矛盾していないかどうかを調べる。矛盾が検出された場合は、矛盾対処ポリシーに基づき、矛盾するアクセス制御設定の矛盾を解消する。たとえば、いずれか一方のアクセス制御情報を削除する。矛盾が解消されたアクセス制御結合情報をアクセス判定マスタ情報として、アクセス判定マスタ情報（記憶手段）１１ｃに格納する。こうして、システム内のアクセス制御情報の整合をとって統合されたアクセス判定マスタ情報が生成される。

このアクセス判定マスタ情報は、配付手段１５によって、アクセス制御手段２１ｃ，２２ｃからのリソースへのアクセス可否の判定要求に対し、許可／不許可の判定を行う判定部２３に配付される。そして、判定部２３は、配付されたアクセス判定マスタ情報をアクセス判定マスタ情報（記憶手段）２３ａに格納する。

ＯＳ２１のファイルシステム２１ｄ及びアプリケーション２２は、処理実行中にリソースへのアクセスが必要になると、アクセス制御手段２１ｃ，２２ｃを起動する。アクセス制御手段２１ｃ，２２ｃは、アクセス判定手段２３ｂに対し、主体、対象のリソース、及び動作内容を通知して問合せを行う。アクセス判定手段２３ｂは、通知された主体、対象のリソース、及び動作内容と、アクセス判定マスタ情報（記憶手段）２３ａに格納されるアクセス判定マスタ情報を照合し、アクセスの許可／不許可を判定し、問合せ先に返信する。アクセス制御手段２１ｃ，２２ｃは、返信に基づいてアクセス制御を行う。

以上のように、本発明によれば、システム内に分散配置されているアクセス制御情報とリソース情報とを管理部１０に集め、これらを結合するとともに、アクセス制御設定どうしの矛盾を矛盾対処ポリシーに基づいて解消し、システム全体でアクセス制御ポリシーの整合性を満たすアクセス判定マスタ情報を生成する。このアクセス判定マスタ情報を共有で利用することにより、システム全体でアクセス制御の一貫性が保証される。

また、矛盾対処ポリシーは、システムに合わせて任意に設定することが可能である。たとえば、設定が矛盾するときに、安全を優先するか、使い勝手を優先するかなど、システムの仕様に合わせてアクセス制御ポリシーを設定することができる。したがって、システムに応じたセキュリティレベルの統合アクセス制御ポリシーをアクセス判定マスタ情報に設定することができる。

以下、実施の形態を、ネットワーク上に分散配置されるシステムに適用した場合を例に図面を参照して詳細に説明する。また、以下の説明の実施の形態では、アクセス制御の対象のリソースをＤＢが管理するデータとする。

図２は、本発明の実施の形態のアクセス制御システムの構成を示した図である。
本発明の実施の形態のアクセス制御システムは、所定の処理を実行するクライアント２００ａ，２００ｂと、システム全体のアクセス制御ポリシーを管理する管理サーバとが、ネットワーク５０を介して接続する。なお、クライアントの数は任意である。

管理サーバ１００は、アクセス制御情報ＤＢ１１０、アクセス制御結合情報ＤＢ１２０、及びアクセス判定マスタ情報ＤＢ１３０のＤＢと、収集部１４０、結合部１５０、整合部１６０、及び配付部１７０を有する。

アクセス制御情報ＤＢ１１０は、収集部１４０が収集した、システム内に分散して配置されていたアクセス制御情報１１０ａと、リソース情報１１０ｂとを記憶する。アクセス制御結合情報ＤＢ１２０は、アクセス制御情報１１０ａを結合したアクセス制御結合情報１２０ａと、リソース情報を結合したリソース包含関係情報１２０ｂとを記憶する。アクセス判定マスタ情報ＤＢ１３０は、システム全体でアクセス制御ポリシーの整合をとったアクセス判定マスタ情報１３０ａを記憶する。各情報の詳細は後述する。

収集部１４０は、エージェント２１２ａ，２２２ａ，２３２ａから送られてきた各処理単位のアクセス制御情報１１０ａと、リソース情報１１０ｂとをアクセス制御情報ＤＢ１１０に格納する。結合部１５０は、収集されたシステム全体のアクセス制御情報１１０ａを結合してアクセス制御結合情報１２０ａを生成するとともに、リソース情報１１０ｂに基づいてリソース構成をまとめたリソース包含関係情報１２０ｂを生成し、アクセス制御結合情報ＤＢ１２０に格納する。整合部１６０は、リソース包含関係情報１２０ｂに基づき、アクセス制御結合情報１２０に同一主体であって、リソースが同一または一部が重なるアクセス制御設定を抽出する。そして、権限が設定される操作に関する操作条件を比較し、同種の操作に対し、アクセス許可または不許可が異なる設定となっていないかどうかを判定する。アクセス制御設定に矛盾があれば、矛盾対処ポリシーに基づいていずれかを削除し、整合をとる。こうして、システム全体で整合のとれたアクセス判定マスタ情報を生成し、アクセス判定マスタ情報ＤＢ１３０に格納する。配付部１７０は、アクセス判定マスタ情報をクライアント２００ａ、２００ｂの判定部２４０ａに配付する。

クライアント２００ａは、ＯＳ２１０ａ、ＤＢシステム２３１ａ、アプリケーション２２１ａ、判定部２４０ａ、及びエージェント（図では、ａｇｅｎｔ）２１２ａ，２２２ａ，２３２ａを具備し、管理サーバ１００の生成したアクセス判定マスタ情報に基づいて、所定の処理のアクセス制御を行う。なお、クライアント２００ｂもクライアント２００ａと同様の構成をとる。以下、特にクライアントを限定する必要がないときは、クライアント２００と表記する。また、内部の構成部も同様とする。

エージェント２１２ａ，２２２ａ，２３２ａは、対応する処理単位に設定されているアクセス制御情報と、リソース情報とを収集して、管理サーバ１００に送信する。ＯＳ２１０ａの１機能であるファイルシステム２１１ａ、ＤＢシステム２３１ａ、及びアプリケーション２２１ａは、処理実行時にリソースへのアクセス要求が発生したら、判定部２４０ａにアクセス要求の許可／不許可の判定を問合せ、判定結果に応じてアクセスを制御する。判定部２４０ａは、アクセス判定マスタ情報に基づき、問合せのあったアクセス要求の許可／不許可を判定し、結果を返信する。

ここで、クライアント２００のハードウェア構成について説明する。図３は、本実施の形態のクライアントのハードウェア構成例を示すブロック図である。
クライアント２００は、ＣＰＵ（Central Processing Unit）２０１によって装置全体が制御されている。ＣＰＵ２０１には、バス２０７を介してＲＡＭ（Random Access Memory）２０２、ハードディスクドライブ（ＨＤＤ：Hard Disk Drive）２０３、グラフィック処理装置２０４、入力インタフェース２０５、通信インタフェース２０６が接続されている。

ＲＡＭ２０２には、ＣＰＵ２０１に実行させるＯＳのプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、ＲＡＭ２０２には、ＣＰＵ２０１による処理に必要な各種データが格納される。ＨＤＤ２０３には、ＯＳ２１０やアプリケーション２２１のプログラムが格納される。グラフィック処理装置２０４には、モニタ２０８が接続されており、ＣＰＵ２０１からの命令に従って画像をモニタ２０８の画面に表示させる。入力インタフェース２０５には、キーボード２０９ａやマウス２０９ｂが接続されており、キーボード２０９ａやマウス２０９ｂから送られてくる信号を、バス２０７を介してＣＰＵ２０１に送信する。通信インタフェース２０６は、ネットワーク５０に接続されており、ネットワーク５０を介して管理サーバ１００との間でデータの送受信を行う。

このようなハードウェア構成によって、本実施の形態の処理機能を実現することができる。なお、図３には、クライアント２００のハードウェア構成を示したが、管理サーバ１００のハードウェア構成も同様である。

次に、管理サーバ１００が保有する情報について説明する。
図４は、本発明の実施の形態の管理サーバが収集するアクセス制御情報の例を示した図である。（Ａ）は、ＯＳのアクセス制御情報であり、（Ｂ）は、ＤＢシステムのアクセス制御情報である。

ここで、「ユーザ／グループ」には、アクセス権限が設定される主体を識別する識別番号が設定される。「リソース」には、アクセス権限の対象のリソース名が設定される。「操作」には、アクセス権限の対象となる操作が設定される。「Ｒ」はリソースからの読み出し、「Ｗ」はリソースへの書き込みを表す。また、「ｉｎｓｅｒｔ」「ｄｅｌａｔｅ」」「ｕｐｄｅａｔｅ」「ｓｅｌｅｃｔ」は、それぞれデータベース操作であり、挿入、消去、アップデート、選択を表す。「許可」は、定義されたアクセスを許可するとき［１］が設定され、許可しないとき［０］が設定される。「拒否」は、定義されたアクセスを拒否するとき［１］が設定され、拒否しないとき［０］が設定される。「有効期間」には、アクセス制御の定義を有効とする期間の「開始」と「終了」とが設定される。「機器」は、アクセス制御の定義を特定の機器にのみ適用するときに設定される。

たとえば、ＯＳアクセス制御情報１１１のアクセス制御ポリシー１１１ａには、機器「ｘｘｘ１」からのアクセス要求で、主体「０００００００１」が、リソース「ｙｙｙ１．ｘｌｓ」に対し、操作「ＲＷ」を行うアクセス要求であれば、「許可」することが設定されている。また、その有効期間は、「２００５／４／１」からになる。ＤＢシステムのアクセス制御情報１１２のアクセス制御ポリシー１１２ａには、機器「ｘｘｘ２」からのアクセス要求で、主体「０００００００１」が、リソース「ＤＢ３」に対し、操作「ｄｅｌａｔｅ」を行うアクセス要求であれば、「拒否」することが設定されている。有効期間は、同様である。

なお、図から明らかなように、ＯＳのアクセス制御情報１１１と、ＤＢシステムのアクセス制御情報１１２とでは、「リソース」の識別名や、「操作」の表記が異なる。このため、ＯＳのアクセス制御情報１１１のリソース「ｘｘｘ１．ｄｂ」「ｘｘｘ２．ｄｂ」と、ＤＢシステムのアクセス制御情報１１２の「ＤＢ１」「ＤＢ２」との関係は、アクセス制御情報のみからではわからない。そこで、リソースの構成を示すリソース情報も収集し、リソース間の包含関係を解析する。また、整合処理時に同等と見なす操作についても予め設定しておく。

図５は、本発明の実施の形態の管理サーバが収集するリソース情報の例を示した図である。（Ｃ）は、ＯＳのリソース情報であり、（Ｄ）は、ＤＢシステムのリソース情報である。

ＯＳのリソース情報１１３は、ＯＳがシステム情報として保有している情報であり、ＯＳから見たリソースの構成を示している。たとえば、ＯＳ識別名「ｘｘｘ１．ｄｂ」「ｘｘｘ２．ｄｂ」によって表されるデータベースを持っていることが定義されている。

ＤＢシステムのリソース情報１１４は、システムデータベースが保有している情報で、ＤＢシステムから見たリソースの構成を示している。たとえば、ＯＳ識別名「ｘｘｘ１．ｄｂ」は、ＤＢシステムでは「ＤＢ１」という識別名であり、「Ａｔａｂｌｅ１」「Ａｔａｂｌｅ２」「Ａｔａｂｌｅ３」の３つのテーブルを有していることが定義されている。

図６は、本発明の実施の形態のリソースの関係を示した図である。
図に示したように、ＯＳでは、「ｘｘｘ１．ｄｂ」という識別名によって識別される記憶手段は、ＤＢシステムでは、「ＤＢ１」という識別名によって識別される。そして、「ＤＢ１」には、「Ａｔａｂｌｅ１」「Ａｔａｂｌｅ２」「Ａｔａｂｌｅ３」がある。

上記のようなリソース情報に基づき、結合部１５０は、リソース包含関係情報を生成する。図７は、本発明の実施の形態の結合部が生成するリソース包含関係情報の例を示した図である。

リソース包含関係情報１２１は、番号１２１ａ、リソース１２１ｂ、及び親リソース１２１ｃを有する。番号１２１ａは、リソースを識別する識別番号である。リソース１２１ｂは、リソースを識別する識別名である。識別名は、それぞれの処理単位で付された識別名が設定される。親リソース１２１ｃは、このリソースを包含する親リソースの識別番号である。

たとえば、番号［１］は、ＯＳでは識別名「ｘｘｘ１．ｄｂ」として識別されるリソースで、これが最上位になる。次の番号［２］は、ＤＢシステムでは識別名「ＤＢ１」として識別されるリソースで、親リソースは、番号［１］の「ｘｘｘ１．ｄｂ」である。番号「３」は、ＤＢシステムでは識別名「ＡＴａｂｌｅ１」として識別されるリソースで、親リソースは、番号［２］の「ＤＢ１」になる。これらリソースの親子関係は、リソース情報１１４に基づいて設定される。

以下、同様にして、リソース情報に含まれるすべてのリソースについて、その包含関係が順次設定される。
さらに、結合部１５０は、収集したアクセス制御情報からアクセス制御結合情報を生成する。図８は、本発明の実施の形態の結合部が生成するアクセス制御結合情報の例を示した図である。

図の例のアクセス制御結合情報１２２は、ＰＲＯハッシュ値１２２ａ、衝突ＩＤ１２２ｂ、主体（グローバルＩＤ）１２２ｃ、リソース１２２ｄ、操作１２２ｅ、許可１２２ｆ、拒否１２２ｇ、ポリシー情報１２２ｈ、及び参照数１２２ｉを有し、システム全体から収集されたアクセス制御情報１１１，１１２を結合し、各種情報を付加することによって生成されている。

ＰＲＯハッシュ値１２２ａ、衝突ＩＤ１２２ｂは、判定部２４０がアクセス制御ポリシーを検索するときの検索時間を短縮するための情報であり、アクセス制御情報１１１，１１２を結合した後に設定される。ＰＲＯハッシュ値１２２ａは、アクセス制御ポリシーデータに基づいて作成されるハッシュ値であり、衝突ＩＤ１２２ｂは、ハッシュ値が衝突したときに参照する識別番号である。同様に、参照数１２２ｉは、判定部２４０が、参照数の多い方から優先的に検索できるようにするための情報であり、判定部２４０で設定するとしてもよい。これらの情報は、アクセス制御ポリシーとは直接は関係ない。

主体（グローバルＩＤ）１２２ｃ、リソース１２２ｄ、操作１２２ｅ、許可１２２ｆ、拒否１２２ｇは、アクセス制御情報１１１，１１２の対応項目を抽出して設定する。主体（グローバルＩＤ）１２２ｃは、アクセス制御情報１１１，１１２の「ユーザ／グループ」に相当する。ポリシー情報１２２ｈは、このアクセス制御ポリシーが設定されていた処理単位を示す情報である。たとえば、「ＯＳ」は、アクセス制御ポリシーがＯＳ２１０から収集されたアクセス制御情報１１１であることを示し、「ＤＢ」は、アクセス制御ポリシーがＤＢシステム２３１から収集されたアクセス制御情報１１２であることを示す。なお、図の例では、アクセス制御情報１１１，１１２の有効期間及び機器は含まれていないが、これらの情報を含めることもできる。

結合部１５０では、アクセス制御情報ＤＢ１１０に格納されるアクセス制御情報を抽出し、それぞれに収集元に応じたポリシー情報１２２ｈを付加する。そして、主体（ユーザ／グループ）で並び替えを行う。さらに、ハッシュ値を算出し、ＰＲＯハッシュ値１２２ａ及び衝突ＩＤ１２２ｂを設定し、参照数１２２ｉの領域を確保する。こうして、生成されたアクセス制御結合情報１２２は、アクセス制御結合情報ＤＢ１２０に格納する。

以上のように、結合部１５０によって、システム全体のアクセス制御情報１１１，１１２を結合したアクセス制御結合情報１２２が生成されるが、この状態では、まだ登録されているアクセス制御ポリシーの整合性はとれていない。

次に、整合部１６０が、アクセス制御結合情報１２２の矛盾するアクセス制御ポリシーの検出と修正を行う。整合部１６０では、主体が同じアクセス制御ポリシーについて、リソースと、操作とが重複するものを検出する。リソースが重複するかどうかは、結合部１５０によって生成されたリソース包含関係情報１２１を参照して判断する。

たとえば、リソース包含関係情報１２１に基づき、リソース「ｘｘｘ１．ｄｂ」「ＤＢ１」「Ａｔａｂｌｅ１」「Ａｔａｂｌｅ２」「Ａｔａｂｌｅ３」は、同じリソースであると見なされる。図の例で、アクセス制御ポリシー１２２−１、「主体＝０００００００１，リソース＝ｘｘｘ１．ｄｂ，操作＝ＲＷ，許可＝０，拒否＝１」と、アクセス制御ポリシー１２２−２、「主体＝０００００００１，リソース＝ＤＢ１，操作＝ｉｎｓｅｒｔ，許可＝１，拒否＝０」とを比較すると、主体が共通であり、リソースも「ｘｘｘ１．ｄｂ」と「ＤＢ１」であるので同じと判断される。また、操作については、「ｉｎｓｅｒｔ」は、リソースへの書き込みを伴うので、「Ｗ」と同じ操作と見なせる。これにより、アクセス制御ポリシー１２２−１と、アクセス制御ポリシー１２２−２とは、主体とリソースが重複すると判断される。

なお、操作が同じと見なせるかどうかの判断は、予め操作の関係を操作マッピング情報として登録しておき、これを参照して行う。
図９は、本発明の実施の形態の整合部で参照する操作マッピング情報の例を示した図である。

図の例の操作マッピング情報１２３では、操作を「読み取り」「書き込み／追記／更新／削除」「実行」の３種類に分類し、それぞれ、「ＯＳ」における操作名と、「ＤＢシステム」における操作名を設定している。操作マッピング情報１２３を参照し、上記の例の「Ｗ」と、「ｉｎｓｅｒｔ」とは同じ操作に分類されることがわかる。

さらに、主体とリソースが重複するアクセス制御ポリシーについて、ポリシー（許可／不許可の判断）が矛盾しているかどかを判定する。ここでは、許可／不許可の設定は、アクセス制御ポリシー１２２−１が、「許可＝０，拒否＝１」であるのに対し、アクセス制御ポリシー１２２−２は、「許可＝１，拒否＝０」と矛盾する。したがって、アクセス制御ポリシー１２２−１とアクセス制御ポリシー１２２−２とが矛盾すると判断し、矛盾対処ポリシーに基づいて矛盾を解消する処理を行う。

図１０は、本発明の実施の形態の整合部で参照する矛盾対処ポリシーの例を示した図である。
図の例の矛盾対処ポリシー１２４では、［１］の「手動設定」、［２］の「操作不可」、「３」の「操作可」、「４」の「条件優先順」の４つのポリシーが設定される。矛盾対処ポリシー１２４は、予め、たとえば、システム全体で１つ選択しておく。また、リソースの種別ごと、主体の種別ごとなどで選択してもよい。

「手動設定」は、矛盾発生ごとに、利用者にアクセス制御ポリシーに矛盾があることを通知し、どのように整合をとるかを手動で設定されるポリシーである。
「操作不可」は、矛盾が発生したときには、「拒否＝１」が設定されているアクセス制御ポリシーを優先し、「許可＝１」のアクセス制御ポリシーを削除するというポリシーである。これにより、統合されるポリシーは、セキュリティレベルが高める方向に修正される。

「操作可」は、「操作不可」とは逆に、矛盾が発生したときには、「許可＝１」が設定されているポリシーを優先するというポリシーである。
「条件優先順」は、矛盾するアクセス制御ポリシーの「ポリシー情報」を参照し、ポリシーの設定元の優先順位に従って、優先順位が下位のアクセス制御ポリシーを削除するというポリシーである。たとえば、ＯＳのアクセス制御情報の優先順位を１、ＤＢシステムのアクセス制御情報の優先順位を２としておく。この場合、ＯＳのアクセス制御ポリシーとＤＢシステムのアクセス制御ポリシーに矛盾があれば、ＯＳのアクセス制御ポリシーが優先され、ＤＢシステムのアクセス制御ポリシーが削除される。

アクセス制御結合情報１２２について、それぞれの矛盾対処ポリシーを適用した場合の整合処理を説明する。
「手動設定」が選択されている場合には、アクセス制御ポリシー１２２−１と、アクセス制御ポリシー１２２−２とが矛盾していることが利用者に通知される。そして、利用者の設定入力に応じて、アクセス制御ポリシー１２２−１、または、アクセス制御ポリシー１２２−２のいずれかを削除する。

以下は、図面を用いて説明する。図１１は、本発明の実施の形態の整合部における整合処理の例を示した図である。図は、図８のアクセス制御結合情報１２２の一部を抜き出しており、（Ａ）は、「操作不可」による整合処理、（Ｂ）は、「操作可」による整合処理、（Ｃ）は、「条件優先順」による整合処理が行われたアクセス制御結合情報である。

「操作不可」が選択されている場合は、（Ａ）に示したように、「拒否＝１」が設定されているアクセス制御ポリシー１２２−１が優先され、「許可＝１」が設定されているアクセス制御ポリシー１２２−２が削除される。

「操作可」が選択されている場合は、（Ｂ）に示したように、「許可＝１」が設定されているアクセス制御ポリシー１２２−２が優先され、「拒否＝１」が設定されているアクセス制御ポリシー１２２−１が削除される。

「条件優先順」が選択されている場合は、ポリシー情報によって削除するアクセス制御ポリシーを決める。ＯＳのアクセス制御ポリシーが、ＤＢシステムのアクセス制御ポリシーよりも優先されるとすると、（Ｃ）に示したように、「ポリシー情報＝ＯＳ」であるアクセス制御ポリシー１２２−１が優先され、「ポリシー情報＝ＤＢ」のアクセス制御ポリシー１２２−２が削除される。

以上のように、結合されたアクセス制御ポリシーを検索し、矛盾するアクセス制御ポリシーが検出された場合には、矛盾対処ポリシーに従って、優先度の高いアクセス制御ポリシーを選択し、低いものを削除する。これにより、矛盾が解消され、システム全体のアクセス制御ポリシーの一貫性が保証される。整合処理が終了したら、これをアクセス判定マスタ情報として、アクセス判定マスタ情報ＤＢ１３０に格納する。

配付部１７０は、生成されたアクセス判定マスタ情報をシステムで共有するため、システム内にあるすべての判定部２４０に対し、アクセス判定マスタ情報を配付する。判定部２４０は、配付されたアクセス判定マスタ情報を用いてアクセスの許可／不許可を判定するため、システム全体でアクセス制御ポリシーの一貫性を保証することができる。

なお、個別に設定されるアクセス制御ポリシー、あるいは、リソースの設定が変更された場合には、たとえば、エージェントが変更を検出し、変更後のアクセス制御情報及びリソース情報を管理サーバ１００に送信する。管理サーバ１００は、エージェントから取得したアクセス制御情報及びリソース情報に基づいて、一連の結合処理及び統合処理を行い、アクセス判定マスタ情報を更新する。これにより、システム全体でアクセス制御ポリシーの一貫性を維持することが可能となる。

ここで、アクセス判定マスタ情報を取得したクライアント２００側のアクセス制御処理について説明する。図１２は、本発明の実施の形態のクライアントのアクセス制御処理を示した図である。

クライアント２００の判定部２４０は、キャッシュ２４２と、アクセス判定処理部２４４を有し、アクセス判定マスタ情報（記憶手段）２４１に接続し、アクセス制御部２５０からのアクセス問合せを受けて、アクセスの許可／不許可の判定を行う。

アクセス判定マスタ情報（記憶手段）２４１には、管理サーバ１００の配付部１７０によって配付されたアクセス判定マスタ情報が格納される。また、キャッシュ２４２には、アクセス判定マスタ情報に登録されるアクセス制御ポリシーのうち、アクセス可否の判定によく使用されるエントリで構成されるアクセス判定キャッシュ表が格納される。アクセス判定マスタ情報の参照数のたとえば、上位５００番までをアクセス判定キャッシュ表２４３として作成しておく。これにより、高速アクセスが可能となる。アクセス判定キャッシュ表２４３のエントリは、適宜更新される。アクセス判定処理部２４４は、ハッシュ値生成部２４５を有し、アクセス制御部２５０からのアクセス問合せからハッシュ値を算出し、アクセス判定キャッシュ表２４３を検索する。そして、得られた判定結果に応じて、アクセス制御部２５０に許可／不許可の応答を返す。

アクセス制御部２５０は、アプリケーション２２１、ＤＢシステム２３１、あるいはファイルシステム２１１などの処理単位ごとに設置されるアクセス制御手段である。アクセス要求に設定される主体、対象リソース、操作を引数２５１として判定部２４０にアクセス問合せを行う。

このような構成のクライアント２００では、アプリケーションなどの処理実行時に、リソースに対しアクセス要求が発生すると、アクセス制御部２５０は、アクセスの主体、対象リソース、操作を引数２５１として、判定部２４０にアクセス可否の問合せを行う。アクセス判定処理部２４４では、ハッシュ値生成部２４５が、引数２５１に基づいてハッシュ値を算出し、アクセス判定キャッシュ表２４３を検索して、ハッシュ値に対応するアクセス制御ポリシーを抽出する。そして、入力された引数の値と抽出されたアクセス制御ポリシーとに基づき、アクセス可否の判定を行い、結果をアクセス制御部２５０に返信する。

以上のように、判定部２４０では、キャッシュ２４２を用いて高速アクセスを可能としている。したがって、システム全体のアクセス制御ポリシーを結合することによりアクセス判定マスタ情報のサイズは大きくなるが、検索に要する時間は増大しないように抑えることができる。

次に、本発明の実施の形態のアクセス制御システムにおけるアクセス制御方法について、フローチャートを用いて説明する。
図１３は、本発明の実施の形態のアクセス制御処理の手順を示したフローチャートである。

［ステップＳ０１］ システム内に分散して配置されているアクセス制御情報を収集する。収集したアクセス制御情報は、アクセス制御情報ＤＢ１１０に格納する。
［ステップＳ０２］ システム内に分散して配置されているリソース情報を収集する。収集したリソース情報は、アクセス制御情報ＤＢ１１０に格納する。

なお、上記の処理手順のうち、収集は、クライアントに配置されているエージェントが行う。管理サーバ１００は、エージェントから送られてきたアクセス制御情報及びリソース情報をアクセス制御情報ＤＢ１１０に格納する処理を行う。

以上の処理手順が実行されることにより、アクセス制御情報ＤＢ１１０に、システム全体のアクセス制御情報と、リソース情報とが格納される。管理サーバ１００は、収集されたアクセス制御情報とリソース情報とに基づき、以下の処理手順を実行する。

［ステップＳ０３］ アクセス制御情報ＤＢ１１０に格納されるリソース情報を読み出し、読み出したリソース情報によって解析されるリソースの構造に基づいて、リソースの識別名の関係を表すリソース包含関係情報を生成する。処理の詳細は後述する。

［ステップＳ０４］ アクセス制御情報ＤＢ１１０に格納されるアクセス制御情報を読み出し、利用者ごとに並び替えて結合し、アクセス制御結合情報を生成する。処理の詳細は後述する。

［ステップＳ０５］ ステップＳ０４で生成されたアクセス制御結合情報のエントリに矛盾がないかどうかをチェックし、矛盾対処ポリシーに基づいて整合をとる整合処理を行う。整合がとれたアクセス制御結合情報は、アクセス判定マスタ情報に設定する。処理の詳細は後述する。

［ステップＳ０６］ ステップＳ０５で生成されたアクセス判定マスタ情報を、システムに配置され、アクセス可否の判定を行っている判定部２４０に配付する。
以上の処理手順が実行されることにより、収集されたシステム全体のアクセス制御情報が結合され、矛盾がないように整合がとられる。こうして生成されたアクセス判定マスタ情報は、システム内でアクセス可否の判定を行う判定部２４０に配付され、判定処理で参照される。これにより、システム内のアクセス制御の一貫性が保証される。

次に、ステップＳ０３、ステップＳ０４、及びステップＳ０５の処理の詳細を順次説明する。
図１４は、本発明の実施の形態のリソース包含関係情報生成処理の手順を示したフローチャートである。

システム内のリソース情報が収集された後、処理が開始される。以下の説明では、リソース番号をｉとし、親リソース番号をｋとする。なお、親リソースは、ＯＳで定義される識別名のリソースとする。子リソースとは、親リソースに含まれる他の識別名のリソースとする。また、親リソースとそれに含まれる子リソースをリソースグループとする。

［ステップＳ３１］ リソース包含関係情報においてリソースに割り当てられるリソース番号（ｉ）をｉ＝１に初期化する。
［ステップＳ３２］ アクセス制御情報ＤＢ１１０に格納されているＤＢシステムのリソース情報を調べ、リソース包含関係情報に登録されていないリソース情報があるかどうかを判定する。未登録で残っているリソース情報があれば、処理を次ステップへ進め、なければ処理を終了する。

［ステップＳ３３］ 未登録で残っているＤＢシステムのリソース情報のＯＳ識別名を読み出し、リソース包含関係情報の「番号」にリソース番号（ｉ）を追記し、「ＯＳ識別名」に読み出したＯＳ識別名を追記する。追記後、ＯＳ識別名のリソース番号（ｉ）を親リソース番号（ｋ）に設定し、ｋ＝ｉとする。また、リソース番号（ｉ）を１進めて、ｉ＝ｉ＋１とする。

［ステップＳ３４］ ステップＳ３２において「リソース」に登録されたＯＳ識別名に対応するＤＢ識別名をＤＢシステムのリソース情報から抽出する。ＯＳ識別名と包含関係を有するＤＢ識別名に対応するリソースを子リソースとする。そして、リソース包含関係情報の「番号」にリソース番号（ｉ）、「親リソース」に親リソース番号（ｋ）を登録する。ｉを１進め、ｉ＝ｉ＋１とする。

［ステップＳ３５］ ステップＳ３４において「リソース」に登録されたＤＢ識別名に対応するＤＢが保有するテーブルをリソース包含関係テーブルに登録したかどうかを判定する。未登録のテーブルが残っている場合には、処理を次ステップへ進め、未登録のテーブルがない場合は、処理をステップＳ３２へ進め、次のリソースグループを処理する。

［ステップＳ３６］ リソース包含関係情報に、未登録のテーブルに関する情報を設定する。ＤＢシステムのリソース情報からテーブル名を抽出し、「リソース」に登録する。「番号」には、リソース番号（ｉ）、「親リソース」には、親リソース番号（ｋ）を登録する。ｉを１進め、ｉ＝ｉ＋１とし、処理をステップＳ３５へ進める。

以上の処理手順を、図５のＤＢシステムのリソース情報１１４及び図７のリソース包含関係情報１２１と用いて具体的に説明する。
まず、ステップＳ３３では、ＤＢシステムのリソース情報１１４から、ＯＳ識別名［ｘｘｘ１．ｄｂ］を取得し、リソース包含関係情報１２１に登録する。ここでは、番号１２１ａに［１］、リソース１２１ｂにＯＳ識別名［ｘｘｘ１．ｄｂ］が登録される。続いて、ステップＳ３４では、ＯＳ識別名［ｘｘｘ１．ｄｂ］の次行に、対応するＤＢ識別名に関する情報を追記する。リソース１２１ｂには、ＤＢ識別名［ＤＢ１］、番号１２１ａに［２］、親リソース１２１ｃに［１］を追記する。そして、ステップＳ３６が、ＯＳ識別名［ＤＢ１］のＤＢが保有するテーブルの登録を行う。

図１５は、本発明の実施の形態のアクセス制御情報結合処理の手順を示したフローチャートである。
システム内のアクセス制御情報が収集された後、処理が開始される。

［ステップＳ４１］ アクセス制御情報ＤＢ１１０に格納されているアクセス制御情報を調べ、アクセス制御結合情報に登録されていないアクセス制御情報があるかどうかを判定する。未登録で残っているアクセス制御情報があれば、処理を次ステップへ進め、なければ、処理を終了する。

［ステップＳ４２］ 利用者ｎ（ｎは、ユーザ／グループＩＤ番号で、初期値は０００００００１であるとする）のアクセス制御情報があるかどうかを判定する。利用者ｎのアクセス制御情報があれば、処理を次ステップへ進め、なければ、ステップＳ４６へ処理を進める。

［ステップＳ４３］ アクセス制御情報ＤＢ１１０から、「ユーザ／グループ」が利用者ｎであるアクセス制御情報を抽出する。
［ステップＳ４４］ ステップＳ４３において抽出された利用者ｎのアクセス制御情報を結合する。

［ステップＳ４５］ ステップＳ４４において結合された利用者ｎのアクセス制御情報をアクセス制御結合情報の登録済みのエントリに続けて登録する。これにより、アクセス制御結合情報に、利用者ｎのアクセス制御情報群が追加される。

［ステップＳ４６］ 利用者を指示するｎを１進める（ｎ＝ｎ＋１）。そして、ステップＳ４１に戻って、次の利用者について、アクセス制御情報の抽出・結合を行う。
以上の処理手順が実行されることにより、アクセス制御情報ＤＢ１１０に格納されているシステム内の全アクセス制御情報が、利用者単位でまとめられた後、結合されて、１つのファイル（アクセス制御結合情報）が生成される。なお、「ユーザ／グループ」を識別する識別情報が本発明の実施の形態と異なる場合には、その識別情報の形式に応じた処理が行われる。

図１６は、本発明の実施の形態の整合処理の手順を示したフローチャートである。
アクセス制御結合情報及びリソース包含関係情報が生成された後、処理が開始される。
［ステップＳ５１］ アクセス制御結合情報ＤＢ１２０に格納されるアクセス制御結合情報を読み出し、利用者が同じ、かつ、対象のリソースが同じであるアクセス制御ポリシーがあるかどうかを検索する。検出されれば、処理を次ステップへ進め、検出されなければ、処理を終了する。

［ステップＳ５２］ ステップＳ５１において検出された利用者及び対象のリソースが同じアクセス制御ポリシーの操作条件が同じであるかどうかを判定する。同じでなければ、処理を次ステップへ進め、同じであれば、ステップＳ５４へ処理を進める。

［ステップＳ５３］ 利用者及び対象のリソースが同じであって、アクセス制御ポリシーの操作条件が異なるものに対して矛盾対処ポリシーを適用し、矛盾を解消する。
［ステップＳ５４］ 利用者及び対象のリソースが同じであって、アクセス制御ポリシーの操作条件が同じものが複数あるときは、１つのアクセス制御ポリシーを残し、他を削除する。そして、ステップＳ５１に戻って、次の矛盾アクセス制御ポリシーを検索する。

以上の処理手順が実行されることにより、システム全体で結合したアクセス制御ポリシー間の矛盾が解消される。
上記の本発明の実施の形態のアクセス制御によれば、管理サーバが、自動的に、システム内で分散配置されるアクセス制御ポリシーに矛盾があるかどうかを解析し、矛盾が検出されれば、予め設定しておいた矛盾対処ポリシーに基づいて矛盾を解消する。この結果、システム全体としてアクセス制御ポリシーを一貫させることができる。

なお、上記の処理機能は、クライアントサーバシステムのサーバコンピュータによって実現することができる。その場合、管理サーバであるアクセス制御装置が有すべき機能の処理内容を記述したサーバプログラムが提供される。サーバコンピュータは、クライアントコンピュータからの要求に応答して、サーバプログラムを実行する。これにより、上記処理機能がサーバコンピュータ上で実現され、処理結果がクライアントコンピュータに提供される。

処理内容を記述したサーバプログラムは、サーバコンピュータで読み取り可能な記録媒体に記録しておくことができる。サーバコンピュータで読み取り可能な記録媒体としては、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリなどがある。磁気記録装置には、ハードディスク装置（ＨＤＤ）、フレキシブルディスク（ＦＤ）、磁気テープなどがある。光ディスクには、ＤＶＤ(Digital Versatile Disc)、ＤＶＤ−ＲＡＭ、ＣＤ−ＲＯＭ(Compact Disc Read Only Memory)、ＣＤ−Ｒ(Recordable)／ＲＷ(ReWritable)などがある。光磁気記録媒体には、ＭＯ(Magneto-Optical disk)などがある。

サーバプログラムを流通させる場合には、たとえば、そのサーバプログラムが記録されたＤＶＤ、ＣＤ−ＲＯＭなどの可搬型記録媒体が販売される。
サーバプログラムを実行するサーバコンピュータは、たとえば、可搬型記録媒体に記録されたサーバプログラムを、自己の記憶装置に格納する。そして、サーバコンピュータは、自己の記憶装置からサーバプログラムを読み取り、サーバプログラムに従った処理を実行する。なお、サーバコンピュータは、可搬型記録媒体から直接サーバプログラムを読み取り、そのサーバプログラムに従った処理を実行することもできる。

（付記１） リソースへのアクセス制御を規定するアクセス制御情報を設定して、アクセス制御を行うためのアクセス制御プログラムにおいて、
コンピュータを、
各々任意の処理を実行する所定の処理単位ごとに設定され、それぞれの記憶手段に格納されるアクセス制御情報と、リソースに関するリソース情報とを収集し、アクセス制御情報記憶手段に格納する収集手段、
前記アクセス制御情報記憶手段に格納される前記処理単位ごとの前記アクセス制御情報を結合して、アクセス制御結合情報を生成する結合手段、
前記結合手段によって生成された前記アクセス制御結合情報について、前記リソース情報に基づき、主体が同じで対象のリソースが重複するアクセス制御設定に矛盾がないかどうかを解析し、矛盾が検出された場合は、対処手順を規定した矛盾対処ポリシーに基づいて矛盾する前記アクセス制御設定のいずれかを修正して前記アクセス制御結合情報の整合をとり、アクセス判定マスタ情報としてアクセス判定マスタ情報記憶手段に格納する整合手段、
として機能させることを特徴とするアクセス制御プログラム。

（付記２） 前記結合手段は、前記アクセス制御情報記憶手段に格納される前記リソース情報に基づいて前記リソース情報に定義される前記リソースの包含関係を解析して、リソース包含関係情報にまとめ、
前記整合手段は、前記リソース包含関係情報に基づいて、前記アクセス制御設定の対象リソースが重複するかどうかを判断する、
ことを特徴とする付記１記載のアクセス制御プログラム。

（付記３） 前記結合手段は、前記アクセス制御情報に設定されるアクセス権限を有する主体を指定する主体の識別情報を読み出し、前記主体の識別情報に基づいて、前記主体ごとに前記アクセス制御情報を並び替える、ことを特徴とする付記１記載のアクセス制御プログラム。

（付記４） 前記結合手段は、それぞれの前記アクセス制御情報に設定される所定の項目の情報を所定の規則に従って変換して前記アクセス制御設定の検索に利用する検索情報を生成し、対応する前記アクセス制御結合情報に付加する、
ことを特徴とする付記１記載のアクセス制御プログラム。

（付記５） 前記結合手段は、前記アクセス制御情報に設定される所定の項目の情報を抽出して、ハッシュ値を算出し、算出されたハッシュ値を前記検索情報とする、
ことを特徴とする付記４記載のアクセス制御プログラム。

（付記６） 前記矛盾対処ポリシーには、前記アクセス制御設定に矛盾が検出されたとき、矛盾する前記アクセス制御設定のうち、どのような設定を優先するのかを規定する優先条件が設定されており、
前記整合手段は、前記矛盾対処ポリシーに基づいて、前記優先条件に合致する前記アクセス制御設定を残し、前記優先条件に合致しない前記アクセス制御設定を削除する、
ことを特徴とする付記１記載のアクセス制御プログラム。

（付記７） 前記矛盾対処ポリシーは、前記アクセス制御設定に矛盾が検出されたとき、前記リソースへの操作を不可とする設定を優先する操作不可優先ポリシーと、前記リソースへの操作を可とする設定を優先する操作可優先ポリシーとを有し、
前記整合手段は、設定される前記矛盾対処ポリシーが前記操作不可優先ポリシーであれば、前記リソースへの操作を可とする設定の前記アクセス制御設定を削除し、設定される前記矛盾対処ポリシーが前記操作可優先ポリシーであれば、前記リソースへの操作を不可とする設定の前記アクセス制御設定を削除する、
ことを特徴とする付記６記載のアクセス制御プログラム。

（付記８） 前記矛盾対処ポリシーは、前記アクセス制御設定に矛盾が検出されたとき、前記アクセス制御設定が設定された処理単位に応じた優先順位に従う条件優先順ポリシーを有し、
前記整合手段は、設定される前記矛盾対処ポリシーが前記条件優先順ポリシーであれば、前記アクセス制御結合情報から前記アクセス制御設定が設定された前記処理単位を抽出し、抽出された前記処理単位に対応する前記優先順位に応じて、前記優先順位の低い前記処理単位に対応する前記アクセス制御設定を削除する、
ことを特徴とする付記６記載のアクセス制御プログラム。

（付記９） 前記矛盾対処ポリシーは、さらに、前記アクセス制御設定に矛盾が検出されたとき、利用者の操作によって手動で矛盾を解消する手動設定ポリシーを有し、
前記整合手段は、設定される前記矛盾対処ポリシーが前記手動設定ポリシーであれば、前記利用者に前記アクセス制御設定の矛盾が発生したことを通知し、前記利用者からの指示入力を待ち、指示入力に応じて優先する前記アクセス制御設定を決定する、
ことを特徴とする付記６記載のアクセス制御プログラム。

（付記１０） 前記整合手段は、前記主体が同じで対象のリソースが重複するアクセス制御設定について、設定される操作の種類を規定した操作条件が同じであって、前記操作条件に対する前記リソースへのアクセス許可またはアクセス不許可の設定が異なるとき、前記アクセス制御設定は矛盾すると判定する、ことを特徴とする付記１記載のアクセス制御プログラム。

（付記１１） 前記整合手段は、前記主体が同じで対象のリソースが重複するアクセス制御設定について、設定される操作の種類を規定した操作条件が同じであって、前記操作条件に対する前記リソースへのアクセス許可またはアクセス不許可の設定が同じであるとき、前記アクセス制御設定は同じであると判定し、１の前記アクセス制御設定を残し、他の同前記アクセス制御設定を削除する、ことを特徴とする付記１記載のアクセス制御プログラム。

（付記１２） 前記収集手段は、前記所定の処理単位ごとに設置される前記記憶手段に対応して設けられ、対応する前記記憶手段に格納される前記アクセス制御情報及び前記リソース情報を自律的に送信する送信手段から前記アクセス制御情報及び前記リソース情報を収集する、ことを特徴とする付記１記載のアクセス制御プログラム。

（付記１３） 前記送信手段は、対応する前記記憶手段に格納される前記アクセス制御情報または前記リソース情報が更新されたとき、前記アクセス制御情報及び前記リソース情報を送信する、ことを特徴とする付記１２記載のアクセス制御プログラム。

（付記１４） 前記コンピュータを、さらに、
前記所定の処理単位における処理実行中に前記リソースへのアクセス要求が発生したとき、前記アクセス判定マスタ情報に基づき、前記リソースへのアクセス要求の許可または不許可を判定するアクセス判定手段、
として機能させることを特徴する付記１記載のアクセス制御プログラム。

（付記１５） 前記アクセス判定手段は、前記アクセス判定マスタ情報を構成する各アクセス制御設定について、判定時に参照される頻度を算出し、算出された頻度の高い前記アクセス制御設定をキャッシュに登録し、アクセス判定時には前記キャッシュに登録される前記アクセス制御設定から先に検索する、ことを特徴とする付記１４記載のアクセス制御プログラム。

（付記１６） リソースへのアクセス制御を規定するアクセス制御情報を設定し、アクセス制御を行うアクセス制御方法において、
収集手段が、各々任意の処理を実行する所定の処理単位ごとに設定され、それぞれの記憶手段に格納されるアクセス制御情報と、リソースに関するリソース情報とを収集し、アクセス制御情報記憶手段に格納し、
結合手段が、前記アクセス制御情報記憶手段に格納される前記処理単位ごとの前記アクセス制御情報を結合して、アクセス制御結合情報を生成し、
整合手段が、前記結合手段によって生成された前記アクセス制御結合情報について、前記リソース情報に基づき、主体が同じで対象のリソースが重複するアクセス制御設定に矛盾がないかどうかを解析し、矛盾が検出された場合は、対処手順を規定した矛盾対処ポリシーに基づいて矛盾する前記アクセス制御設定のいずれかを修正して前記アクセス制御結合情報の整合をとり、アクセス判定マスタ情報としてアクセス判定マスタ情報記憶手段に格納する、
手順を有することを特徴とするアクセス制御方法。

（付記１７） リソースへのアクセス制御を規定するアクセス制御情報を設定し、アクセス制御を行うアクセス制御システムにおいて、
対象者の前記リソースへのアクセス権限を設定したアクセス制御情報と、前記リソースに関するリソース情報とを記憶するアクセス制御情報記憶手段と、
前記アクセス制御情報に基づき生成されるアクセス判定マスタ情報を記憶するアクセス判定マスタ情報記憶手段と、
各々任意の処理を実行する所定の処理単位ごとに設定され、それぞれの記憶手段に格納される前記アクセス制御情報と、前記リソース情報とを収集し、前記アクセス制御情報記憶手段に格納する収集手段と、
前記アクセス制御情報記憶手段に格納される前記処理単位ごとの前記アクセス制御情報を結合して、アクセス制御結合情報を生成する結合手段と、
前記結合手段によって生成された前記アクセス制御結合情報について、前記リソース情報に基づき、主体が同じで対象のリソースが重複するアクセス制御設定に矛盾がないかどうかを解析し、矛盾が検出された場合は、対処手順を規定した矛盾対処ポリシーに基づいて矛盾する前記アクセス制御設定のいずれかを修正して前記アクセス制御結合情報の整合をとり、前記アクセス判定マスタ情報として前記アクセス判定マスタ情報記憶手段に格納する整合手段と、
を具備する管理装置と、
前記所定の処理単位ごとに保有する前記アクセス制御情報及び前記リソース情報を読み出し、前記収集手段に送信する送信手段と、
前記アクセス判定マスタ情報を記憶するアクセス判定マスタ情報記憶手段と、
前記所定の処理単位から前記リソースへのアクセス要求が発生したときは、前記アクセス判定マスタ情報に基づき、前記リソースへのアクセスの許可または不許可を判定するアクセス判定手段と、
を具備する情報処理装置と、
を有することを特徴とするアクセス制御システム。

実施の形態に適用される発明の概念図である。 本発明の実施の形態のアクセス制御システムの構成を示した図である。 本実施の形態のクライアントのハードウェア構成例を示すブロック図である。 本発明の実施の形態の管理サーバが収集するアクセス制御情報の例を示した図である。 本発明の実施の形態の管理サーバが収集するリソース情報の例を示した図である。 本発明の実施の形態のリソースの関係を示した図である。 本発明の実施の形態の結合部が生成するリソース包含関係情報の例を示した図である。 本発明の実施の形態の結合部が生成するアクセス制御結合情報の例を示した図である。 本発明の実施の形態の整合部で参照する操作マッピング情報の例を示した図である。 本発明の実施の形態の整合部で参照する矛盾対処ポリシーの例を示した図である。 本発明の実施の形態の整合部における整合処理の例を示した図である。 本発明の実施の形態のクライアントのアクセス制御処理を示した図である。 本発明の実施の形態のアクセス制御処理の手順を示したフローチャートである。 本発明の実施の形態のリソース包含関係情報生成処理の手順を示したフローチャートである。 本発明の実施の形態のアクセス制御情報結合処理の手順を示したフローチャートである。 本発明の実施の形態の整合処理の手順を示したフローチャートである。 従来のアクセス制御ポリシーの設定を示した図である。

符号の説明

１０ 管理部
１１ａ アクセス制御情報（記憶手段）
１１ｂ アクセス制御結合情報（記憶手段）
１１ｃ アクセス判定マスタ情報（記憶手段）
１２ 収集手段
１３ 結合手段
１４ 整合手段
１５ 配付手段
２０ 処理部
２１ ＯＳ
２２ アプリケーション
２１ａ，２２ａ アクセス制御情報（記憶手段）
２１ｂ，２２ｂ 送信手段
２１ｃ，２２ｃ アクセス制御手段
２１ｄ ファイルシステム
２３ 判定部
２３ａ アクセス判定マスタ情報（記憶手段）
２３ｂ アクセス判定手段

Claims (3)

1. コンピュータシステム上のリソースに対する、複数のユーザについての、ＯＳ（Operating System）によるアクセス制御および複数のアプリケーション各々によるアクセス制御を、前記複数のユーザ各々に対し整合させるアクセス制御方法であって、
   収集部が、前記ＯＳにおいて設定された、前記複数のユーザ各々についての、前記コンピュータシステム上で前記ＯＳによってアクセス可能なリソースに対するアクセス制御情報である第１のアクセス制御情報を収集するとともに、前記複数のアプリケーション各々において設定された、前記複数のユーザ各々についての、前記コンピュータシステム上で前記複数のアプリケーション各々によってアクセス可能なリソースに対するアクセス制御情報である第２のアクセス制御情報を収集し、
   整合部が、収集された前記第１のアクセス制御情報および前記第２のアクセス制御情報を結合したアクセス制御結合情報から、リソースの包含関係に基づき、重複してアクセス制御が設定されたリソースを判別し、前記複数のユーザ各々について、前記アクセス制御結合情報内で重複してアクセス制御が設定されたリソースにつき、同一ユーザについてのアクセス制御の設定に矛盾が無いかを解析し、前記アクセス制御結合情報内でアクセス制御の設定に矛盾が検出されたときは、対処手順を規定した矛盾対処ポリシーに基づいて前記アクセス制御結合情報を修正して、アクセス判定マスタ情報として記憶部に保存し、
   アクセス判定部が、前記複数のユーザ各々より前記リソースに対するアクセス要求があったときは、前記アクセス判定マスタ情報に基づき、前記リソースへのアクセスの許可または不許可を判定する、
   処理を含み、
   前記矛盾対処ポリシーは、矛盾が検出されたアクセス制御の設定のうちアクセスの許可または拒否のいずれかの設定を優先するように規定したポリシーと、矛盾が検出されたアクセス制御の設定のうち、前記ＯＳおよび前記複数のアプリケーションの中で優先度の高いものによるアクセス制御の設定を優先するように規定したポリシーと、のいずれかを含むことを特徴とするアクセス制御方法。
2. コンピュータシステム上のリソースに対する、複数のユーザについての、ＯＳによるアクセス制御および複数のアプリケーション各々によるアクセス制御を行うアクセス制御システムであって、
   前記ＯＳにおいて設定された、前記複数のユーザ各々についての、前記コンピュータシステム上で前記ＯＳによってアクセス可能なリソースに対するアクセス制御情報である第１のアクセス制御情報を収集するとともに、前記複数のアプリケーション各々において設定された、前記複数のユーザ各々についての、前記コンピュータシステム上で前記複数のアプリケーション各々によってアクセス可能なリソースに対するアクセス制御情報である第２のアクセス制御情報を収集する収集部と、
   収集された前記第１のアクセス制御情報および前記第２のアクセス制御情報を結合したアクセス制御結合情報から、リソースの包含関係に基づき、重複してアクセス制御が設定されたリソースを判別し、前記複数のユーザ各々について、前記アクセス制御結合情報内で重複してアクセス制御が設定されたリソースにつき、同一ユーザについてのアクセス制御の設定に矛盾が無いかを解析し、前記アクセス制御結合情報内でアクセス制御の設定に矛盾が検出されたときは、対処手順を規定した矛盾対処ポリシーに基づいて前記アクセス制御結合情報を修正して、アクセス判定マスタ情報として出力する整合部と、
   を具備する管理装置と、
   前記第１のアクセス制御情報および前記第２のアクセス制御情報を、前記収集部に送信する送信部と、
   前記複数のユーザ各々より前記リソースに対するアクセス要求があったときは、前記アクセス判定マスタ情報に基づき、前記リソースへのアクセスの許可または不許可を判定するアクセス判定部と、
   を具備する情報処理装置と、
   を有し、
   前記矛盾対処ポリシーは、矛盾が検出されたアクセス制御の設定のうちアクセスの許可または拒否のいずれかの設定を優先するように規定したポリシーと、矛盾が検出されたアクセス制御の設定のうち、前記ＯＳおよび前記複数のアプリケーションの中で優先度の高いものによるアクセス制御の設定を優先するように規定したポリシーと、のいずれかを含むことを特徴とするアクセス制御システム。
3. コンピュータシステム上のリソースに対する、複数のユーザについての、ＯＳによるアクセス制御および複数のアプリケーション各々によるアクセス制御を、前記複数のユーザ各々に対し整合させる処理を、コンピュータに実行させるプログラムであって、
   前記コンピュータに、
   前記ＯＳにおいて設定された、前記複数のユーザ各々についての、前記コンピュータシステム上で前記ＯＳによってアクセス可能なリソースに対するアクセス制御情報である第１のアクセス制御情報を収集するとともに、前記複数のアプリケーション各々において設定された、前記複数のユーザ各々についての、前記コンピュータシステム上で前記複数のアプリケーション各々によってアクセス可能なリソースに対するアクセス制御情報である第２のアクセス制御情報を収集し、
   収集された前記第１のアクセス制御情報および前記第２のアクセス制御情報を結合したアクセス制御結合情報から、リソースの包含関係に基づき、重複してアクセス制御が設定されたリソースを判別し、前記複数のユーザ各々について、前記アクセス制御結合情報内で重複してアクセス制御が設定されたリソースにつき、同一ユーザについてのアクセス制御の設定に矛盾が無いかを解析し、前記アクセス制御結合情報内でアクセス制御の設定に矛盾が検出されたときは、対処手順を規定した矛盾対処ポリシーに基づいて前記アクセス制御結合情報を修正して、アクセス判定マスタ情報として記憶部に保存する、
   処理を実行させ、
   前記矛盾対処ポリシーは、矛盾が検出されたアクセス制御の設定のうちアクセスの許可または拒否のいずれかの設定を優先するように規定したポリシーと、矛盾が検出されたアクセス制御の設定のうち、前記ＯＳおよび前記複数のアプリケーションの中で優先度の高いものによるアクセス制御の設定を優先するように規定したポリシーと、のいずれかを含むことを特徴とするプログラム。

Images