JP5667817B2

JP5667817B2 - アプリケーション管理システム

Info

Publication number: JP5667817B2
Application number: JP2010197862A
Authority: JP
Inventors: 竹森　敬祐; 敬祐竹森; 松井　利樹; 利樹松井; 真西川; 潤一池野; 耕平安井; 和幸江口
Original assignee: KDDI Corp
Current assignee: KDDI Corp
Priority date: 2010-09-03
Filing date: 2010-09-03
Publication date: 2015-02-12
Anticipated expiration: 2030-09-03
Also published as: JP2012053836A

Description

本発明は、携帯電話端末やスマートフォン等の端末装置にインストールされるアプリケーションを管理するアプリケーション管理システムに関する。

昨今、PCに近い高機能を実現したスマートフォンの普及が進んでいる。また、スマートフォンに実装されるOS（オペレーティングシステム）として、例えばオープンプラットフォームと呼ばれる汎用的なOSであるAndroidが採用されている。このようなOS上で動作する多数のアプリケーションがインターネット上で公開されており、スマートフォンのユーザは必要なアプリケーションを選択してスマートフォンにインストールすることが可能である。

また、専用OSを採用する携帯電話においては、アプリケーションの改竄防止を目的として、開発者や、プラットフォーム提供者、キャリアによる署名がなされたアプリケーションのみをインストール・実行可能とする仕組みがあり、こうした仕組みはコードシグネチャと呼ばれる（例えば、特許文献１参照）。

特開２００４−２７２８９３号公報

しかし、スマートフォン等の端末装置の普及に伴って、利用者の個人情報の窃盗や、悪性サイトへの誘導、OSの管理者権限の奪取など、利用者が意図せず不利益を被る可能性のある振る舞いを行うアプリケーションも登場している。したがって、端末装置を法人で利用するには、業務外アプリケーションの不正インストールや不正利用を防止することが求められる。このため、端末装置にインストールされるアプリケーションを制限する機構が必要である。

本発明は、上述した課題に鑑みてなされたものであって、端末装置毎に必要なアプリケーションをインストールすることができるアプリケーション管理システムを提供することを目的とする。

本発明は、上記の課題を解決するためになされたもので、アプリケーションが動作する端末装置と、前記端末装置にインストールされるアプリケーションを管理するアプリケーション管理装置とを備えたアプリケーション管理システムであって、前記アプリケーション管理装置は、アプリケーションのプログラムを記憶すると共に、前記端末装置を識別する第１の識別情報と、当該第１の識別情報に対応付けられたアプリケーションの情報とを含み、前記端末装置毎に必要なアプリケーションを示す第１のアプリケーション情報を記憶し、会社ポリシの識別情報および会社毎に必要なアプリケーションの情報を含む前記会社ポリシと、部署ポリシの識別情報および部署毎に必要なアプリケーションの情報を含む前記部署ポリシと、前記第１の識別情報および端末毎に必要なアプリケーションの情報を含む端末ポリシとを含む第２のアプリケーション情報を記憶する第１の記憶部と、前記端末装置との通信により、前記第１の識別情報を含み、前記第１のアプリケーション情報の送信を要求する送信要求情報を受信したとき、前記第１のアプリケーション情報を送信し、前記端末装置がインストールを要求するアプリケーションを示す要求アプリケーション情報を受信し、前記要求アプリケーション情報が示すアプリケーションのプログラムを送信する第１の通信部と、前記第１の記憶部が記憶している前記第１のアプリケーション情報の中から、前記第１の通信部が受信した前記送信要求情報に含まれる前記第１の識別情報に対応する前記第１のアプリケーション情報を選択する選択部と、前記第１の識別情報と、前記会社ポリシの識別情報と、前記部署ポリシの識別情報とを入力する入力部と、前記入力部に入力された前記第１の識別情報と、前記入力部に入力された前記会社ポリシの識別情報に対応付けられたアプリケーションの情報と、前記入力部に入力された前記部署ポリシの識別情報に対応付けられたアプリケーションの情報と、前記入力部に入力された前記第１の識別情報に対応付けられたアプリケーションの情報とを対応付けることによって前記第２のアプリケーション情報を生成し、当該第２のアプリケーション情報に基づいて前記第１のアプリケーション情報を生成するアプリケーション情報生成部と、を有し、前記端末装置は、アプリケーションのプログラムを記憶する第２の記憶部と、前記アプリケーション管理装置との通信により、前記送信要求情報を前記アプリケーション管理装置へ送信し、前記第１のアプリケーション情報を受信し、前記要求アプリケーション情報を送信し、アプリケーションのプログラムを受信する第２の通信部と、前記第２の記憶部にインストールされているアプリケーションの情報と前記第１のアプリケーション情報とに基づいて、インストールを要求するアプリケーションを選択し、前記要求アプリケーション情報を生成するアプリケーション選択部と、前記第２の通信部が受信したアプリケーションのプログラムを前記第２の記憶部にインストールするインストール実行部と、を有することを特徴とするアプリケーション管理システムである。

また、本発明のアプリケーション管理システムにおいて、前記端末装置はさらに、前記端末装置に不要なアプリケーションのプログラムを消去する消去部を有し、前記アプリケーション選択部はさらに、前記第２の記憶部にインストールされているアプリケーションのプログラムの情報と前記第１のアプリケーション情報とに基づいて、前記第２の記憶部にインストールされているアプリケーションのプログラムの中から、前記端末装置に不要なアプリケーションのプログラムを選択することを特徴とする。

また、本発明のアプリケーション管理システムにおいて、前記第１の記憶部が記憶するアプリケーションのプログラムには電子署名が付加されており、前記インストール実行部は、前記第２の通信部が受信したアプリケーションのプログラムに付加されている電子署名を検証し、アプリケーションのプログラムの完全性が確認できた場合に、アプリケーションのプログラムを前記第２の記憶部にインストールすることを特徴とする。

また、本発明のアプリケーション管理システムにおいて、前記アプリケーション管理装置はさらに、アプリケーションのプログラムの安全性を検証し、安全であると判断したアプリケーションのプログラムに前記電子署名を付加する付加部を有することを特徴とする。

また、本発明のアプリケーション管理システムにおいて、前記アプリケーション管理装置はさらに、前記第１の通信部が受信した前記送信要求情報に含まれる前記第１の識別情報に基づいて前記端末装置の認証を行う認証部を有し、前記第１の通信部はさらに、前記認証部によって前記端末装置が認証された場合に、前記アプリケーション選択部が選択したアプリケーションのプログラムを前記端末装置へ送信することを特徴とする。

また、本発明のアプリケーション管理システムにおいて、前記端末装置はさらに、前記第２の通信部、前記アプリケーション選択部、および前記インストール実行部として前記端末装置を動作させるためのプログラムを記録したROMを有することを特徴とする。

本発明によれば、端末装置毎に必要なアプリケーションを示す第１のアプリケーション情報に従ってアプリケーションのインストールが行われるので、端末装置毎に必要なアプリケーションをインストールすることができる。

本発明の一実施形態によるアプリケーション管理システムの構成を示すブロック図である。本発明の一実施形態によるアプリケーション管理システムが有するセンタ局の構成を示すブロック図である。本発明の一実施形態によるアプリケーション管理システムが有する端末の構成を示すブロック図である。本発明の一実施形態におけるアプリケーションファイルを示す参考図である。本発明の一実施形態におけるアプリケーションリストを示す参考図である。本発明の一実施形態におけるポリシ情報を示す参考図である。本発明の一実施形態においてポリシ情報に基づいて端末にアプリケーションを割り当てる様子を示す概念図である。本発明の一実施形態によるアプリケーション管理システムの動作を示すシーケンス図である。本発明の一実施形態によるアプリケーション管理システムの動作を示すシーケンス図である。 Androidのディレクトリ構造を示す参考図である。

以下、図面を参照し、本発明の実施形態を説明する。図１は、本実施形態によるアプリケーション管理システムの構成を示している。図１に示すアプリケーション管理システムは、アプリケーションの管理を行うセンタ局１（アプリケーション管理装置）と、ユーザが所持する複数の端末２（端末装置）とを有する。

センタ局１は、予め決められたアプリケーションのみが端末２にインストールされている状態を維持するように、端末２にインストールされるアプリケーションを管理する。端末２は、センタ局１が管理している情報に従って、アプリケーションのインストールおよび消去（アンインストール）を行う。また、センタ局１と端末２は、ネットワークを介した通信を行う。センタ局１と端末２との通信にはプロキシサーバやルータ等のネットワーク機器が必要であるが、図１には示していない。

図２はセンタ局１の構成を示している。センタ局１は、通信部１０（第１の通信部）、記憶部１１（第１の記憶部）、端末認証部１２（認証部）、アプリケーション管理部１３（選択部、起動情報生成部）、安全性検証部１４（付加部）、署名付加部１５（付加部）、入力部１６、およびリスト管理部１７（アプリケーション情報生成部）を有する。

通信部１０は端末２と無線通信を行う。通信部１０は制御通信部１０ａとアプリケーション配信通信部１０ｂを有する。制御通信部１０ａは、端末２にインストールされているアプリケーションの起動等を行うために端末２を直接操作するための操作情報を端末２へ送信し、実行結果を示す実行結果情報を端末２から受信する。制御通信部１０ａが行う通信には、例えばSSH（Secure SHell）を利用することができる。アプリケーション配信通信部１０ｂは、インストールの対象となるアプリケーションのプログラムを含む各種ファイルの圧縮ファイルであるアプリケーションファイルを端末２へ送信する。各種情報の詐称を防ぐため、センタ局１と端末２の間の通信には相互認証および暗号化通信を適用することが望ましい。

記憶部１１は、アプリケーションファイルや、アプリケーションリスト（第１のアプリケーション情報）、端末リスト等を記憶する。図４は、記憶部１１に格納されるアプリケーションファイルの一例を示している。図４に示すように、それぞれのアプリケーションファイルには電子署名が付加されている。本実施形態のアプリケーションとして、データ消去、位置情報取得、テキストエディタ、描画、電話会議等の各種アプリケーションを用いることができる。アプリケーションリストは、それぞれの端末２にインストールすべきアプリケーションのリストである。図５はアプリケーションリストの一例を示している。図５に示すように、アプリケーションリストは、端末２に固有の識別情報である端末ID（第１の識別情報）と、各端末２にインストールすべきアプリケーションの識別情報（アプリケーション名称等）とを含む。端末リストは、サービスに加入している端末のリストであり、端末IDを含む。

端末認証部１２は、端末２から通知される端末IDに基づいて端末２の認証を行う。アプリケーション管理部１３は、端末２にインストールされるアプリケーションの管理を行う。また、アプリケーション管理部１３は、センタ局１から端末２を操作してアプリケーションの起動等の操作を行う場合に、その操作の制御も行う。

安全性検証部１４は、センタ局１で管理されるアプリケーションファイルの安全性を検証する。より具体的には、安全性検証部１４は、例えばアンチウイルスソフトを利用して、アプリケーションファイルがウイルス（マルウェア）を含んでいるか否かを判定することによって、アプリケーションファイルの安全性を検証する。署名付加部１５は、安全性検証部１４によって安全性が確認されたアプリケーションファイルに対して電子署名を付加する。本実施形態では、センタ局１によって安全性が確認されたアプリケーションファイルのみが端末２にインストールされるため、アプリケーションの安全性が保証される。

入力部１６は、必要な情報をセンタ局１に入力するためのものである。入力部１６は、センタ局１の管理者等が情報入力のために操作する操作部材（マウスやキーボード等）、あるいは着脱式のフラッシュメモリ等の記録媒体から必要な情報を読み取るための読み取り装置等を有する。リスト管理部１７は、入力部１６を介して入力された情報に基づいてアプリケーションリストの生成および更新を行う。

図３は端末２の構成を示している。端末２は、通信部２０（第２の通信部）、ID取得部２１、アプリケーション制御部２２、記憶部２３（第２の記憶部）、および端末制御部２４を有する。

通信部２０はセンタ局１と無線通信を行う。通信部２０は制御通信部２０ａとアプリケーション取得通信部２０ｂを有する。制御通信部２０ａは、アプリケーションの起動等に係る操作情報をセンタ局１から受信し、操作情報に基づく処理の実行結果を示す実行結果情報をセンタ局１へ送信する。前述したように、制御通信部２０ａが行う通信には、例えばSSH（Secure SHell）を利用することができる。アプリケーション取得通信部１０ｂは、インストールの対象となるアプリケーションのアプリケーションファイルをセンタ局１から受信する。

ID取得部２１は、端末IDを取得する。例えば、AndroidをOSに採用した端末では、“android.permission.READ_PHONE_STATE”のパーミッションを利用して、端末IDとしてIMEI情報を取得することが可能である。

アプリケーション制御部２２は、アプリケーション選択部２２ａ、インストール実行部２２ｂ、アプリケーション消去部２２ｃ（消去部）、アプリケーション起動部２２ｄ（起動部）、および動作制御部２２ｅを有する。アプリケーション選択部２２ａは、センタ局１から受信されたアプリケーションリストに基づいて、端末２にインストールすべき必要なアプリケーション、および端末２から消去（アンインストール）すべき不要なアプリケーションを選択する。インストール実行部２２ｂは、センタ局１から受信されたアプリケーションファイルを用いてアプリケーションのインストールを実行する。アプリケーション消去部２２ｃは、アプリケーション選択部２２ａによって選択された不要なアプリケーションの消去（アンインストール）を実行する。アプリケーション起動部２２ｄは、アプリケーションの起動を行う。動作制御部２２ｅは、起動したアプリケーションの動作を制御する。

記憶部２３は、インストールされたアプリケーションのプログラムやインストールアプリケーションリスト等を記憶する。インストールアプリケーションリストは、端末２にインストールされているアプリケーションのリストであり、インストールされているアプリケーションの識別情報（アプリケーション名称等）を含む。端末制御部２４は端末２内の各部を制御する。

端末２において、アプリケーションをインストールする機能は、本実施形態で示している手順に従ってセンタ局１からアプリケーションファイルを取得してアプリケーションをインストールする機能に限られる。例えばAndroidを採用した端末の場合、インストール機能として、Android Marketアプリケーションやadb shellを利用したインストール機能があるが、これらの機能によるインストールを行えないようにするため、本実施形態の端末２では、これらの機能に係るシステムファイルが予め削除されている。

また、通信部２０やアプリケーション制御部２２等の機能を実現するプログラムの改竄を防ぐため、通信部２０やアプリケーション制御部２２等の機能を実現するプログラムを、データの書き換えができないROM（Read Only Memory）に格納しておき、端末２の電源投入時にCPU（Central Processing Unit）がROMからプログラムを読み出して実行することで、通信部２０やアプリケーション制御部２２等が起動するようにしておくことが望ましい。

次に、アプリケーションリストの生成方法を説明する。本実施形態では、端末２が使用される組織によって必要なアプリケーションが異なることを想定しており、端末２にインストールされるアプリケーションは会社や部署毎に設定される。また、ユーザが端末２を紛失し、機密データの漏洩を防ぐためにデータ消去アプリケーションが必要になるなど、端末２の状況に応じて必要なアプリケーションが発生することも想定している。

そこで、会社や部署に応じて必要なアプリケーションおよび端末２の状況に応じて必要なアプリケーションが予めポリシとして規定され、そのポリシに従って、アプリケーションリストが生成および更新される。記憶部１１には、このポリシを示すポリシ情報（第２のアプリケーション情報）が格納されている。

図６はポリシ情報の一例を示している。ポリシ情報は、会社ポリシ、部署ポリシ、端末ポリシを含む。会社ポリシは、会社毎に必要なアプリケーションを示しており、会社ポリシの識別情報（会社名あるいは会社ポリシ名称等）とアプリケーションの識別情報（アプリケーション名称等）を含む。部署ポリシは、部署毎に必要なアプリケーションを示しており、部署ポリシの識別情報（部署名や部署ポリシ名称等）とアプリケーションの識別情報（アプリケーション名称等）を含む。端末ポリシは、端末２の状況に応じて必要なアプリケーションを示しており、端末２の端末IDとアプリケーションの識別情報（アプリケーション名称等）を含む。ポリシ情報は、アプリケーション管理システムによるサービスに会社が加入したとき等に生成され、記憶部１１に格納される。端末ポリシについては、特に必要なアプリケーションがなければ、アプリケーションの識別情報を含まない。ポリシ情報は適宜その内容を変更することが可能である。

図７は、ポリシ情報を利用して各端末２にアプリケーションを割り当てる例を概念的に示している。会社ポリシ、部署ポリシ、端末ポリシを指定して、各ポリシに含まれるアプリケーションを端末IDと対応付けることによって、各端末にアプリケーションを割り当てることができる。また、３つのポリシを指定するだけでアプリケーションの割り当てを行うことができるため、端末毎に個々のアプリケーションを指定する煩雑な作業を削減することができる。

会社のサービス加入による登録時には、その会社の管理者等の意向に従って、会社ポリシ、部署ポリシ、および端末ポリシが決定され、入力部１６を介して、各ポリシに割り当てるアプリケーションの情報が入力され、リスト管理部１７によってポリシ情報が生成される。端末ポリシについては、特に必要なアプリケーションがなければ、アプリケーションの識別情報を含まない状態となっている。生成されたポリシ情報は記憶部１１に格納される。

続いて、入力部１６を介して、サービスに加入する会社に所属する端末２の端末ID、会社ポリシの識別情報、および部署ポリシの識別情報が入力される。リスト管理部１７は、入力された会社ポリシの識別情報に対応する会社ポリシ、入力された部署ポリシの識別情報に対応する部署ポリシ、および入力された端末IDに対応する端末ポリシを記憶部１１から読み出し、その会社ポリシ、部署ポリシ、および端末ポリシのそれぞれによって指定されるアプリケーションの識別情報と、入力された端末IDとを関連付けることによって、アプリケーションリストを生成する。生成されたアプリケーションリストは記憶部１１に格納される。

共通の組織に所属する複数の端末２の端末IDを一括して指定し、複数の端末２に一括してアプリケーションを割り当てることも可能である。既にサービスに加入している会社において新たな端末が加入するときも、上記と同様の流れでアプリケーションの割り当てが行われる。端末ポリシに割り当てられるアプリケーションは、センタ局１で電子署名が付加されたアプリケーションに限られるが、端末ポリシに割り当てることが可能なアプリケーションを特定のアプリケーションのみにさらに限定してもよい。

次に、本実施形態によるアプリケーション管理システムの動作を説明する。以下の説明において、制御通信部１０ａおよび制御通信部１０ｂによる実行結果の通信については説明を省略する。

図８は、アプリケーションのインストールおよび消去（アンインストール）に係る動作を示している。端末２において端末ID取得部２１は端末ID（第１の識別情報）を取得する（ステップＳ１００）。端末制御部２４は、アプリケーションリストの送信をセンタ局１に要求するためのリスト要求（送信要求情報）を生成し、通信部２０へ出力する。リスト要求には、端末ID取得部２１が取得した端末IDが含まれる。通信部２０のアプリケーション取得通信部２０ｂはリスト要求をセンタ局１へ送信する（ステップＳ１０５）。

リスト要求の送信は一定の時間間隔で行われる。リスト要求の送信後の動作は以下のようになる。

センタ局１において通信部１０のアプリケーション配信通信部１０ｂは端末２からリスト要求を受信し、端末認証部１２へ出力する。端末認証部１２は、リスト要求から端末IDを抽出し、記憶部１１から端末リストを読み出して端末の認証を行う（ステップＳ１１０）。より具体的には、ステップＳ１１０で端末認証部１２は、リスト要求から抽出した端末IDと、端末リストに含まれる端末IDとを比較する。リスト要求から抽出した端末IDが、端末リストに含まれる端末IDのいずれかと一致した場合、端末認証部１２は、認証の成功および端末IDをアプリケーション管理部１３に通知する。リスト要求から抽出した端末IDが、端末リストに含まれるどの端末IDとも一致しなかった場合には、認証の失敗がアプリケーション管理部１３に通知され、アプリケーションのインストールおよび消去が終了する。

認証の成功および端末IDを端末認証部１２から通知されたアプリケーション管理部１３は、記憶部１１に格納されているアプリケーションリスト（第１のアプリケーション情報）の中から、通知された端末IDと同一の端末IDを含むアプリケーションリストを選択して読み出し、通信部１０へ出力する。通信部１０のアプリケーション配信通信部１０ｂは、リスト要求の送信元である端末２へアプリケーションリストを送信する（ステップＳ１２０）。

端末２において通信部２０のアプリケーション取得通信部２０ｂはセンタ局１からアプリケーションリストを受信し、端末制御部２４を介してアプリケーション制御部２２へ出力する。アプリケーション制御部２２のアプリケーション選択部２２ａは、記憶部２３からインストールアプリケーションリストを読み出し、センタ局１から受信したアプリケーションリストと、記憶部２３から読み出したインストールアプリケーションリストとに基づいて、端末２にインストールすべき必要なアプリケーション、および端末２から消去すべき不要なアプリケーションを選択する（ステップＳ１２５）。

より具体的には、ステップＳ１２５でアプリケーション選択部２２ａは、アプリケーションリストおよびインストールアプリケーションリストに含まれるそれぞれのアプリケーションの識別情報を比較する。アプリケーションリストに含まれる第１アプリケーションの識別情報が、インストールアプリケーションリストに含まれるどのアプリケーションの識別情報とも一致しなかった場合（第１アプリケーションの識別情報と一致するアプリケーションの識別情報がインストールアプリケーションリストに含まれていなかった場合）、アプリケーション選択部２２ａは、端末２にインストールすべき必要なアプリケーションとして第１アプリケーションを選択する。また、インストールアプリケーションリストに含まれる第２アプリケーションの識別情報が、アプリケーションリストに含まれるどのアプリケーションの識別情報とも一致しなかった場合（第２アプリケーションの識別情報と一致するアプリケーションの識別情報がアプリケーションリストに含まれていなかった場合）、アプリケーション選択部２２ａは、端末２から消去すべき不要なアプリケーションとして第２アプリケーションを選択する。

続いて、アプリケーション選択部２２ａは、ステップＳ１２５で選択したアプリケーションの識別情報に基づいて、アプリケーションのインストールを行うか否かを判定する（ステップＳ１３０）。端末２にインストールすべき必要なアプリケーションがない場合、処理はステップＳ１６０に進む。また、端末２にインストールすべき必要なアプリケーションがある場合、アプリケーション選択部２２ａは、必要なアプリケーションの識別情報を制御部２４へ出力する。制御部２４は、必要なアプリケーションファイルをセンタ局１に要求するためのアプリケーション要求（要求アプリケーション情報）を生成し、通信部２０へ出力する。アプリケーション要求には、必要なアプリケーションの識別情報が含まれる。通信部２０のアプリケーション取得通信部２０ｂはアプリケーション要求をセンタ局１へ送信する（ステップＳ１３５）。

センタ局１において通信部１０のアプリケーション配信通信部１０ｂは端末２からアプリケーション要求を受信し、アプリケーション管理部１３へ出力する。アプリケーション管理部１３は、アプリケーション要求に含まれるアプリケーションの識別情報に対応したアプリケーションファイルを記憶部１１から読み出し、通信部１０へ出力する（ステップＳ１４０）。前述したように、アプリケーションファイルには電子署名が付加されている。通信部１０のアプリケーション配信通信部１０ｂは、アプリケーション要求の送信元である端末２へアプリケーションファイルを送信する（ステップＳ１４５）。

端末２において通信部２０のアプリケーション取得通信部２０ｂはセンタ局１からアプリケーションファイルを受信し、端末制御部２４を介してアプリケーション制御部２２へ出力する。アプリケーション制御部２２のインストール実行部２２ｂは、アプリケーションファイルに付加されている電子署名を検証する（ステップＳ１５０）。電子署名の検証方法は、周知の方法である。電子署名の検証により、アプリケーションファイルの完全性（アプリケーションファイルが改竄されていないこと）の確認が行われる。

アプリケーションファイルの完全性を確認できた場合、インストール実行部２２ｂは、圧縮ファイルであるアプリケーションファイルを伸張し、アプリケーションの実行ファイルを記憶部２２に格納すると共に、アプリケーションを実行するための各種設定を行う（ステップＳ１５５）。アプリケーションファイルの完全性を確認できなかった場合、アプリケーションのインストールは行われない。

続いて、アプリケーション選択部２２ａは、ステップＳ１２５で選択したアプリケーションの識別情報に基づいて、アプリケーションの消去を行うか否かを判定する（ステップＳ１６０）。端末２から消去すべき不要なアプリケーションがない場合、アプリケーションのインストールおよび消去に係る処理が終了する。また、端末２から消去すべき不要なアプリケーションがある場合、アプリケーション選択部２２ａは不要なアプリケーションの識別情報をアプリケーション消去部２２ｃに通知する。アプリケーション消去部２２ｃは、アプリケーション選択部２２ａから通知されたアプリケーションの識別情報に対応するアプリケーションのプログラムや各種設定情報を記憶部２３から消去する（ステップＳ１６５）。上記の動作により、アプリケーションのインストールおよび消去に係る処理が終了する。

上記の動作によって、アプリケーションリストの内容に従い、端末２において必要なアプリケーションのインストールおよび不要なアプリケーションの消去が行われる。したがって、端末２の機能を端末毎に必要な最低限の機能のみに制限すると共に、業務外アプリケーションの不正インストールや不正利用を防止することができる。

リスト要求、アプリケーション要求、およびアプリケーションファイルの通信はアプリケーション配信通信部１０ｂおよびアプリケーション取得通信部２０ｂによって行われるが、アプリケーションリストの通信は制御通信部１０ａおよび制御通信部１０ｂによって行われてもよい。制御通信部１０ａおよび制御通信部１０ｂによってアプリケーションリストの通信が行われる場合、センタ局１から送信される操作情報に、アプリケーションリストの本体とアプリケーションリストの処理指示とが含まれる。

Android上で動作するアプリケーションがインストール後に自動的に起動する設定を行うことが可能である。また、ユーザの指示を受けてアプリケーションが起動することも可能である。これらのような起動方法に加えて、本実施形態では以下のようにしてセンタ局１が端末２を操作してアプリケーションを起動することも可能である。

図９は、アプリケーションの起動および実行に係る動作を示している。図９に示す動作は、ユーザが端末２を紛失したので、機密データの漏洩を防ぐためにデータ消去アプリケーションを起動する場合や、端末２が属する組織において業務上、端末２の位置を知るために位置情報取得アプリケーションを起動する場合等に行われる。前提として、図９に示す動作の前に図８のステップＳ１００およびステップＳ１０５が行われており、アプリケーションを起動する端末２がセンタ局１に接続しているものとする。したがって、センタ局１は、端末２との通信に必要なプロキシサーバのIPアドレス等の情報を把握している。

端末２を紛失したユーザから管理者に申請があったときや、定期的なアプリケーションの起動タイミングが訪れたとき、センタ局１において、入力部１６を介して、アプリケーションの起動指示と共に、起動対象のアプリケーションの識別情報、アプリケーションを起動する端末２の端末ID、端末２が所属する組織に係る会社ポリシの識別情報（会社名等）および部署ポリシの識別情報（部署名等）が入力される（ステップＳ２００）。これらの情報はリスト管理部１７へ出力されるが、起動対象のアプリケーションの識別情報および端末IDはアプリケーション管理部１３へも出力される。

アプリケーション管理部１３は、記憶部１１に格納されているアプリケーションリストの中から、入力部１６を介して入力された端末IDと同一の端末IDを含むアプリケーションリストを選択して読み出す。アプリケーション管理部１３は、入力部１６を介して入力されたアプリケーションの識別情報と、アプリケーションリストに含まれるアプリケーションの識別情報とを比較し、アプリケーションリストに起動対象のアプリケーションが含まれているか否かを判定する（ステップＳ２０５）。

入力部１６を介して入力されたアプリケーションの識別情報が、アプリケーションリストに含まれるアプリケーションの識別情報のいずれかと一致した場合、アプリケーションリストに起動対象のアプリケーションが含まれることになる。この場合、処理はステップＳ２２０に進む。

また、入力部１６を介して入力されたアプリケーションの識別情報が、アプリケーションリストに含まれるどのアプリケーションの識別情報とも一致しなかった場合、アプリケーションリストに起動対象のアプリケーションが含まれないことになる。この場合、端末２に起動対象のアプリケーションがインストールされていない可能性がある。このため、アプリケーション管理部１３は、端末２にインストールすべきアプリケーションに起動対象のアプリケーションを追加するため、リスト管理部１７に端末ポリシの更新を指示する。

リスト管理部１７は、記憶部１１に格納されている端末ポリシの中から、入力部１６を介して入力された端末IDと同一の端末IDを含む端末ポリシを読み出し、その端末ポリシに対して、入力部１６を介して入力されたアプリケーションの識別情報を追加することによって、端末ポリシを更新する（ステップＳ２１０）。更新された端末ポリシは記憶部１１に格納される。

さらに、リスト管理部１７は、入力された会社ポリシの識別情報に対応する会社ポリシ、入力された部署ポリシの識別情報に対応する部署ポリシ、入力された端末IDに対応する端末ポリシを記憶部１１から読み出し、会社ポリシ、部署ポリシ、および端末ポリシのそれぞれによって指定されるアプリケーションの識別情報と、入力された端末IDとを関連付けることによって、アプリケーションリストを生成する。リスト管理部１７は、同じ端末IDに対応する以前のアプリケーションリストを記憶部１１から削除し、新たに生成したアプリケーションリストを代わりに記憶部１１に格納することによって、アプリケーションリストを更新する（ステップＳ２１５）。

続いて、アプリケーション管理部１３は、図８に示した、アプリケーションのインストールおよび消去に係る処理を端末２に開始させるための処理開始指示を含む操作情報を生成し、通信部１０へ出力する。通信部１０の制御通信部１０ａは操作情報を端末２へ送信する（ステップＳ２２０）。

端末２において通信部２０の制御通信部２０ａはセンタ局１から操作情報を受信し、端末制御部２４へ出力する。端末制御部２４は、操作情報に含まれる処理開始指示に基づいて、図８に示したステップＳ１００からの処理を開始するように端末２の各部を制御する。以後、図８に示したステップＳ１００〜Ｓ１６５の処理が行われる（ステップＳ２２５）。これによって、更新されたアプリケーションリストが端末２へ送信され、必要に応じてアプリケーションのインストール／消去が行われる。したがって、起動対象のアプリケーションが端末２にインストールされていなければ、起動対象のアプリケーションが端末２にインストールされる。

続いて、センタ局１においてアプリケーション管理部１３は起動対象のアプリケーションを起動するためのアプリケーション起動指示を含む操作情報（起動情報）を生成し、通信部１０へ出力する。アプリケーション起動指示は起動対象のアプリケーションの識別情報を含む。通信部１０の制御通信部１０ａは操作情報を端末２へ送信する（ステップＳ２３０）。

端末２において通信部２０の制御通信部２０ａはセンタ局１から操作情報を受信し、端末制御部２４へ出力する。端末制御部２４は、操作情報に含まれるアプリケーション起動指示に基づいて、アプリケーション制御部２２にアプリケーションの起動を指示する。このとき、アプリケーション起動指示に含まれるアプリケーションの識別情報がアプリケーション制御部２２に通知される。アプリケーション制御部２２のアプリケーション起動部２２ｄは、端末制御部２４から通知されたアプリケーションの識別情報に対応するアプリケーションのプログラムを記憶部２３から読み出して実行することによって、アプリケーションを起動する（ステップＳ２３５）。

続いて、センタ局１においてアプリケーション管理部１３は、起動したアプリケーションに処理を実行させるための処理指示を含む操作情報（制御情報）を生成し、通信部１０へ出力する。通信部１０の制御通信部１０ａは操作情報を端末２へ送信する（ステップＳ２４０）。

起動したアプリケーションに処理を実行させるための処理指示には、アプリケーションの動作に必要な動作パラメータが含まれる。例えば、データ消去アプリケーションの場合、消去対象のデータが存在するディレクトリやファイル名が動作パラメータとなる。Androidでは、アプリケーションがアクセスできるディレクトリは、そのアプリケーション専用に割り当てられた特定の領域に制限されているため、特定のアプリケーションが作成したファイルが存在するディレクトリは容易に分かる。

図１０は、Androidのディレクトリ構成を示している。図１０に示すように、階層構造を有するディレクトリが作成されている。ディレクトリＤ１には、インストールされたアプリケーションの実行ファイルが格納される。また、ディレクトリＤ２は、各アプリケーションが用いるデータを保管するディレクトリであり、ディレクトリＤ２の下に、各アプリケーションの名称と同じ名称を有するディレクトリＤ３ａ〜Ｄ３ｃが並んでいる。

特定のアプリケーションが作成した全てのファイルを消去する場合、そのアプリケーションの名称と同じ名称を有するディレクトリの名称が動作パラメータとして指定される。また、特定のアプリケーションが作成した特定のファイルのみを消去する場合、ディレクトリの名称と共にファイル名が動作パラメータとして指定される。データの消去に必要なアプリケーションの名称やファイル名の情報は、入力部１６を介して入力される。

電話会議アプリケーションの場合、接続先の電話番号等が動作パラメータとなる。また、位置情報取得アプリケーションの場合、位置情報の通知先の情報や通知間隔等が動作パラメータとなる。

処理指示を含む操作情報がセンタ局１から送信されると、端末２において通信部２０の制御通信部２０ａは操作情報を受信し、端末制御部２４へ出力する。端末制御部２４は、操作情報に含まれる処理指示に基づいて、アプリケーション制御部２２に処理を指示する。このとき、処理指示に含まれる動作パラメータがアプリケーション制御部２２に通知される。アプリケーション制御部２２の動作制御部２２ｅは、起動したアプリケーションに動作パラメータを与え、アプリケーションに所定の処理を実行させる（ステップＳ２４５）。

例えば、データ消去アプリケーションが起動した場合、動作パラメータによって指定されるディレクトリ内の全てのファイルまたは特定のファイルのみが消去される。また、電話会議アプリケーションが起動した場合、動作パラメータによって指定される接続先に発信するための処理が行われる。また、位置情報取得アプリケーションが起動した場合、動作パラメータによって指定される通知先に位置情報を通知するための処理が行われる。

アプリケーションによる処理の実行結果は、適宜、制御通信部２０ｂおよび制御通信部１０ｂを介した通信によってセンタ局１に通知される。ステップＳ２３０〜Ｓ２４５の処理が繰り返され、アプリケーションによって必要な処理が実行される。

上記の動作によって、センタ局１から端末２を操作してアプリケーションを起動することができる。図８に示した処理を含むステップＳ２２５の処理が行われるため、起動対象のアプリケーションが端末２にインストールされていない場合でも、起動対象のアプリケーションを端末２にインストールしてから起動することができる。

端末２の状況が変化し、端末ポリシが示すアプリケーションが不要になった場合（例えば、紛失した端末２が見つかった場合）には、端末ポリシからアプリケーションの識別情報を削除し、これに伴ってアプリケーションリストから、同じアプリケーションの識別情報を削除してもよい。

上記では、起動後のアプリケーションに動作パラメータを与えているが、予め必要な動作パラメータを含むアプリケーションのアプリケーションファイルを生成してもよい。例えば、端末２を紛失したユーザから管理者に申請があったとき、アプリケーション管理部１３は、入力部１６を介して入力された情報に基づいて、データの消去に必要な動作パラメータを生成し、その動作パラメータを含むデータ消去アプリケーションのアプリケーションファイルを生成する。生成されたアプリケーションファイルは、署名付加部１５によって電子署名が付加され、記憶部１１に格納される。

続いて、ステップＳ２００からの処理が行われ、データの消去に必要な動作パラメータを含むデータ消去アプリケーションが端末２にインストールされて起動される。このとき、データ消去アプリケーションを自動的に起動することも可能である。起動したアプリケーションのプログラムに内在する動作パラメータに従って、データの消去が行われる。

上述したように、本実施形態によれば、端末毎に必要なアプリケーションを示すアプリケーションリストに従ってアプリケーションのインストールを行うことによって、端末毎に必要なアプリケーションをインストールすることができる。また、アプリケーションリストにないアプリケーションが端末２にインストールされている場合にそのアプリケーションを消去（アンインストール）することによって、端末２の機能を必要な最小限の機能に制限することができる。

また、センタ局１が、端末IDを含むリスト要求（図８のステップＳ１０５）を受信したときに、その端末IDに対応するアプリケーションリストを選択して端末２へ送信することによって、端末２において、必要／不要なアプリケーションを選択することができる。

また、ポリシ情報を利用してアプリケーションリストを生成することによって、端末毎に個々のアプリケーションを指定する煩雑な作業を削減しつつ、各端末に対して、必要なアプリケーションを割り当てることができる。

また、端末２が、アプリケーションファイルに付加された電子署名の検証を行い、アプリケーションファイルの完全性が確認できた場合にアプリケーションのインストールを行うことによって、改竄されていないアプリケーションをインストールすることができる。さらに、センタ局１がアプリケーションの安全性を検証して電子署名をアプリケーションファイルに付加することによって、安全性の保証されたアプリケーションをインストールすることができる。

また、制御通信部１０ａおよび制御通信部２０ｂが通信を行い、アプリケーション起動指示を含む操作情報をセンタ局１から端末２へ送信することによって、センタ局１から端末２を操作してアプリケーションを起動することができる。さらに、制御通信部１０ａおよび制御通信部２０ｂが通信を行い、アプリケーションの動作パラメータを含む操作情報をセンタ局１から端末２へ送信することによって、センタ局１から端末２を操作してアプリケーションの動作を制御することができる。

また、Android Marketアプリケーションやadb shellを利用したインストール機能を実現するシステムファイルを端末２から予め削除しておき、本実施形態で示した手順によってセンタ局１から受信したアプリケーションのみのインストールを可能とすることによって、業務外アプリケーションの不正インストールや不正利用を防止すると共に、端末２の機能を必要な最小限の機能に制限することができる。

また、端末２の通信部２０やアプリケーション制御部２２等の機能を実現するプログラムをROMに格納することによって、プログラムの改竄やなりすましを防止することができる。

以上、図面を参照して本発明の実施形態について詳述してきたが、具体的な構成は上記の実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。

１・・・センタ局、２・・・端末、１０・・・通信部、１０ａ，２０ａ・・・制御通信部、１０ｂ・・・アプリケーション配信通信部、１１，２３・・・記憶部、１２・・・端末認証部、１３・・・アプリケーション管理部、１４・・・安全性検証部、１５・・・署名付加部、１６・・・入力部、１７・・・リスト管理部、２０・・・通信部、２０ｂ・・・アプリケーション取得通信部、２１・・・ID取得部、２２・・・アプリケーション制御部、２２ａ・・・アプリケーション選択部、２２ｂ・・・インストール実行部、２２ｃ・・・アプリケーション消去部、２２ｄ・・・アプリケーション起動部、２２ｅ・・・動作制御部、２４・・・端末制御部

Claims

アプリケーションが動作する端末装置と、前記端末装置にインストールされるアプリケーションを管理するアプリケーション管理装置とを備えたアプリケーション管理システムであって、
前記アプリケーション管理装置は、
アプリケーションのプログラムを記憶すると共に、前記端末装置を識別する第１の識別情報と、当該第１の識別情報に対応付けられたアプリケーションの情報とを含み、前記端末装置毎に必要なアプリケーションを示す第１のアプリケーション情報を記憶し、会社ポリシの識別情報および会社毎に必要なアプリケーションの情報を含む前記会社ポリシと、部署ポリシの識別情報および部署毎に必要なアプリケーションの情報を含む前記部署ポリシと、前記第１の識別情報および端末毎に必要なアプリケーションの情報を含む端末ポリシとを含む第２のアプリケーション情報を記憶する第１の記憶部と、
前記端末装置との通信により、前記第１の識別情報を含み、前記第１のアプリケーション情報の送信を要求する送信要求情報を受信したとき、前記第１のアプリケーション情報を送信し、前記端末装置がインストールを要求するアプリケーションを示す要求アプリケーション情報を受信し、前記要求アプリケーション情報が示すアプリケーションのプログラムを送信する第１の通信部と、
前記第１の記憶部が記憶している前記第１のアプリケーション情報の中から、前記第１の通信部が受信した前記送信要求情報に含まれる前記第１の識別情報に対応する前記第１のアプリケーション情報を選択する選択部と、
前記第１の識別情報と、前記会社ポリシの識別情報と、前記部署ポリシの識別情報とを入力する入力部と、
前記入力部に入力された前記第１の識別情報と、前記入力部に入力された前記会社ポリシの識別情報に対応付けられたアプリケーションの情報と、前記入力部に入力された前記部署ポリシの識別情報に対応付けられたアプリケーションの情報と、前記入力部に入力された前記第１の識別情報に対応付けられたアプリケーションの情報とを対応付けることによって前記第２のアプリケーション情報を生成し、当該第２のアプリケーション情報に基づいて前記第１のアプリケーション情報を生成するアプリケーション情報生成部と、
を有し、
前記端末装置は、
アプリケーションのプログラムを記憶する第２の記憶部と、
前記アプリケーション管理装置との通信により、前記送信要求情報を前記アプリケーション管理装置へ送信し、前記第１のアプリケーション情報を受信し、前記要求アプリケーション情報を送信し、アプリケーションのプログラムを受信する第２の通信部と、
前記第２の記憶部にインストールされているアプリケーションの情報と前記第１のアプリケーション情報とに基づいて、インストールを要求するアプリケーションを選択し、前記要求アプリケーション情報を生成するアプリケーション選択部と、
前記第２の通信部が受信したアプリケーションのプログラムを前記第２の記憶部にインストールするインストール実行部と、
を有することを特徴とするアプリケーション管理システム。
前記端末装置はさらに、前記端末装置に不要なアプリケーションのプログラムを消去する消去部を有し、
前記アプリケーション選択部はさらに、前記第２の記憶部にインストールされているアプリケーションのプログラムの情報と前記第１のアプリケーション情報とに基づいて、前記第２の記憶部にインストールされているアプリケーションのプログラムの中から、前記端末装置に不要なアプリケーションのプログラムを選択する
ことを特徴とする請求項１に記載のアプリケーション管理システム。
前記第１の記憶部が記憶するアプリケーションのプログラムには電子署名が付加されており、
前記インストール実行部は、前記第２の通信部が受信したアプリケーションのプログラムに付加されている電子署名を検証し、アプリケーションのプログラムの完全性が確認できた場合に、アプリケーションのプログラムを前記第２の記憶部にインストールする
ことを特徴とする請求項１または請求項２に記載のアプリケーション管理システム。
前記アプリケーション管理装置はさらに、アプリケーションのプログラムの安全性を検証し、安全であると判断したアプリケーションのプログラムに前記電子署名を付加する付加部を有することを特徴とする請求項３に記載のアプリケーション管理システム。
前記アプリケーション管理装置はさらに、前記第１の通信部が受信した前記送信要求情報に含まれる前記第１の識別情報に基づいて前記端末装置の認証を行う認証部を有し、
前記第１の通信部はさらに、前記認証部によって前記端末装置が認証された場合に、前記アプリケーション選択部が選択したアプリケーションのプログラムを前記端末装置へ送信する
ことを特徴とする請求項１に記載のアプリケーション管理システム。
前記端末装置はさらに、前記第２の通信部、前記アプリケーション選択部、および前記インストール実行部として前記端末装置を動作させるためのプログラムを記録したROMを有することを特徴とする請求項１〜請求項５のいずれか一項に記載のアプリケーション管理システム。